Evolution of Android.FakeInstaller

Transcripción

1 Evolution of Android.FakeInstaller 8dot8 Computer Security Conference Fernando Ruiz

2 FakeInstaller Familia de Malware que estafa a usuarios de Android mediante el envio de SMS a números de tarifa premium haciendose pasar por el instalador (wizard) de una aplicación legitima. Orientado a usuarios de Europa del Este 2

3 Prevalencia Samples Procesados Android Malware 29% FakeInstaller Others 71% 3

4 Método de Infección Victim Web Search Fake-Site or Black-Market Polymorphic APK Server APK Fake-Installer 4

5 Distribución: Redes Sociales 5

6 Distribución: FakeSites 6

7 Distribución: FakeSites 7

8 Distribución: FakeMarkets 8

9 Distribución: FakeMarkets 9

10 FakeInstaller 10

11 FakeInstaller 11

12 FakeInstaller 12

13 FakeInstaller 13

14 FakeInstaller 14

15 Server Side Polymorphic 15

16 Server Side Polymorphic Variando el tamaño del APK 16

17 Otro Polimorfismo El conjunto de archivos APK que son proporcionados por los Fake-Sites o Fake-Markets durante un mismo día, poseen el mismo archivo DEX. Cuando el archivo DEX es cambiado por una nueva version o compilación del mismo código, este cambia para todos. APK APK APK APK 17

18 Inicios y primeras versiones Durante el Q4 de 2011 versiones primitivas de FakeInstaller que simulaban ser Opera Mini empezaron a ser distribuidas 18

19 Primeras Versiones Q

20 Separación de funciones en clases Añade mas vistas y animaciones 20

21 Añade soporte de MCC mundial 2012 Reduce lineas de código 21

22 Marzo 2012: Mejoras de interfaz, reduccion de MCC. 22

23 Mayo 2012: Anti-Emulación 23

24 Crackeando la App Una alternativa para realizar el analisis dinamico es modificar la aplicación a partir del código decompilado (smali), compilar y firmar nuevamente la aplicación 24

25 Crackeando la App 25

26 FakeInstaller.S Octubre

27 Evolución Independiente Diciembre

28 Ofuscación de XML con Base64 Base64 encoded PD94bWwgdmVyc2lvbj0iMS 4wIiBlbmNvZGluZz0idXRmL TgiPz48ZGF0YT48ZnJvZD4 yndwvznjvzd48c21zig51b WJlcj0iMjMzMiIgdGV4dD0iN Ss2NTZ0bS0zMzktYTQzIiAv PjxzbXMgbnVtYmVyPSI3Mj UwIiB0ZXh0PSI1KzY1NnRtL TMzOS1hNDMiIC8+PHNtcy BudW1iZXI9IjcwOTkiIHRleH Q9IjUrNjU2dG0tMzM5LWE0 MyIgLz48L2RhdGE+ decoded <?xml version="1.0" encoding="utf-8"?> <data> <frod>24</frod> <sms number="2332" text="5+656tm-339-a43" /> <sms number="7250" text="5+656tm-339-a43" /> <sms number="7099" text="5+656tm-339-a43" /> </data> 28

29 Ofuscación de XML con XOR 29

30 Integración de WebView 30

31 Callback method onjsprompt 31

32 Ofuscación y nuevas funciones 32

33 Botnet 33

34 Algunos comandos remotos via XML <sms number= YYY >XXX</sms> Enviar XXX a YYY <catch number= YYY >XXX</catch> Interceptar Mensajes XXX con YYY <openurl url= URL /> Abrir URL a Víctima <update url= URL /> Descargar e instalar archivo desde <server>url</server> Cambiar server a URL 34

35 Manifest Actual 35

36 Código Ofuscado: Recompilación Diaria 36

37 Futuro Aumento del nivel de ofuscación/encriptación del código Mejora en instraestructura y mecanismos de distribución Utilización de Exploits Implementación de técnicas de anti-reversing del DEX Nuevos tipos de polimorfismo Mecanismos para evitar la detección de antivirus 37

38 Tips para Proteger Nuestro Dispositivo Bloqueo del dispositivo (PIN, contraseña, patrón) Instalar aplicaciones confiables (No habilitar Fuentes Desconocidas) Copia de seguridad (Backup) Mantener el sistema actualizado (incluso las aplicaciones) Evitar rootear el dispositivo Cerrar sesiones de banca y comercio en línea Desactivar servicios que nos se estén utilizando en el momento (Wi- Fi, Bluetooth, GPS Evitar responder a SMS/ s sospechosos Evitar abrir links o descargar adjuntos sospechosos en s/sms/ Redes sociales Instale una aplicación de seguridad para dispositivos móviles 38

39 Preguntas Fernando 39

40