Bao cao athena 1

TRUNG TÂM ĐÀO TẠO QUẢN TRỊ MẠNG

VÀ AN NINH MẠNG QUỐC TẾ ATHENA

BÁO CÁO TUẦN

ĐỀ TÀI: NGHIÊN CỨU CÁC TROJAN, MALWARE

CHO PHÉP ĐÁNH CẮP DỮ LIỆU NHƯ DANH SÁCH

CONTACT, TIN NHẮN TRÊN ĐIỆN THOẠI SỬ

DỤNG ANDROID VÀ GỬI RA NGOÀI

CBHD: Võ Đỗ Thắng

SVTH: Nguyễn Đức Thái

Tp. HCM Ngày 29 Tháng 06 Năm 2014

Mục Lục

Nội dung: Nghiên cứu mã độc trên Android. Cài đặt một số ứng dụng có chứa mã độc vào Android.. 1

1. Mã độc trên Android.............................................................................................................. 1

1.1. Định nghĩa: ................................................................................................................... 1

1.2. Mã độc trong môi trường Android: .............................................................................. 1

1.2.1. Android là một môi trường lý tưởng cho mã độc phát triển................................... 1

1.2.2. Phân loại mã độc Android. .................................................................................... 1

1.3. Thực trạng .................................................................................................................... 2

1.4. Malware – tiêu biểu của trên Android. ............................................................................ 3

1.4.1. Cơ chế hoạt động của Malware. ............................................................................... 3

1.4.2. Mục đích của Malware DroidDream ..................................................................... 4

1.5. Cơ chế bảo mật trong Android...................................................................................... 4

1.5.1. Tính bảo mật trong Android.................................................................................. 4

1.5.2. Cơ chế Permission: ................................................................................................ 4

1.5.3. Google Play: .......................................................................................................... 5

2. Cài đặt một số chương trình có mã độc trên Android........................................................... 5

2.1. iCalendar....................................................................................................................... 5

2.1.1. Các công cụ cần thiết:.............................................................................................. 5

2.1.2. Các bước thực hiện:............................................................................................... 5

2.2. iMatch ......................................................................................................................... 11

2.2.1. Các công cụ cần thiết:............................................................................................ 11

2.2.2. Các bước thực hiện:............................................................................................. 11

CBHD: VÕ ĐỖ THẮNG SVTH: NGUYỄN ĐỨC THÁI

Trang 1

Nội dung: Nghiên cứu mã độc trên Android. Cài đặt một số ứng dụng

có chứa mã độc vào Android.

1. Mã độc trên Android.

1.1. Định nghĩa:

Mã độc là một đoạn code được đưa vào phần mềm nhằm thay đổi các thực thi của

hệ điều hành hoặc các chương trình bảo vệ máy tính mà không cần sự cho phép của

người sử dụng. Bằng cách này, phần mềm có chứa mã độc sẽ:

Phá hoại hệ thống máy tính như xóa, sửa, làm hỏng file, dữ liệu….

Phát tán thư rác.

Lợi dụng máy tính của bạn làm công cụ tấn công các hệ thống mạng máy tính

khác.

Đánh cắp thông tin: thông tin về địa chỉ mail, thông tin cá nhân, tài khoản ngân

hàng, thẻ tín dụng,….

1.2. Mã độc trong môi trường Android:

1.2.1. Android là một môi trường lý tưởng cho mã độc phát triển.

Phần lớn các smartphone đều hỗ trợ các ứng dụng email, internet baking…Sử

dụng các ứng dụng này đồng nghĩa với việc cung cấp thông tin cá nhân.

Android hiện tại giữ vị trí số một trong các hệ điều hành dành cho smartphone và

máy tính bảng.

Android là một hệ điều hành mã nguồn mở.

1.2.2. Phân loại mã độc Android.

Có nhiều cách phân loại khac nhau như: Troy Vennon dựa vào cách hoạt động lây

nhiễm của mã độc đã chia ra làm bốn loại, K.H.Khan & M.N.Tahir phân loai mã độc

làm 6 nhóm. Theo trang web forenics chuyên nghiên cứu về mã độc dựa vào mục tiêu

của mã độc để chia ra làm 9 họ:

Đánh cấp thông tin cá nhân 51,3%

Gửi tin nhắn trái phép (IMEL,..) 30,1%

Botnet(spam, thư rác,..) 23,5%

Truy cập Root 18,3%

Tải từ Google-Play 11,3%

Cài đặt các ứng dụng khác 10,4%


Trang 2

Đánh cấp định vị của người dùng 8,7%

Cài đặt các ứng dụng hỗ trợ hacker 7,8%

Trojans (tiếp cận các dịch vụ ngân hàng trực tiếp) 3,5%

1.3. Thực trạng

Theo thống kê được thực hiện dựa trên số liệu từ hệ thống giám sát virút của Bkav,

chỉ trong năm tháng đầu năm 2014, phần mềm bảo vệ smartphone Bkav Mobile Security

đã cập nhật 621.000 mã độc mới xuất hiện, vượt xa số lượng 528.000 của cả năm 2013.

Đặc biệt, mỗi ngày có 262.000 điện thoại bị nhiễm loại mã độc gửi tin nhắn SMS đến đầu

số tính phí. “Đây là các đầu số thu phí 15.000 đồng/tin nhắn, tính ra mỗi ngày người sử

dụng VN bị “móc túi” số tiền khổng lồ lên tới hơn 3,9 tỉ đồng”, báo cáo của Bkav kết luận.

Thực tế, số tiền các loại virút “móc túi” người dùng smartphone có thể hơn gấp nhiều lần

vì có rất nhiều điện thoại bị nhiễm virút trong một thời gian dài nhưng chủ nhân không

nhận biết và cũng không có biện pháp kiểm tra, theo dõi.

Một báo cáo mới vừa được công bố, cho thấy mức độ nghiêm trọng của mã độc

trên Android - hệ điều hành di động phổ biến nhất thế giới có đến 99,9% số lượng mã

độc mới được phát hiện trong quý I năm 2013 được thiết kế để nhắm đến nền tảng

Android. Đây là một con số báo động về tình trạng mã độc trên nền tảng di động của

Google vừa được hãng bảo mật Kaspersky Lab công bố.

Phần lớn trong số các loại mã độc trên Android là virus trojan, một dạng virus chủ

yếu để sử dụng để đánh cắp tiền của người dùng bị lây nhiễm bằng cách gửi đến họ

những tin nhắn lừa đảo, đọc lén các thông tin cần thiết và gửi báo cáo đến nơi khác, ăn

cắp thông tin như là mật khẩu và số thẻ tín dụng, cài đặt lén các phần mềm chưa được

cho phép, ….. Loại mã độc này chiếm đến 63% tổng số các loại mã độc mới được phát

tán trên Android trong quý I năm 2013.

Các nhà nghiên cứu bảo mật của Kaspersky cũng báo cáo một sự bùng nồ về số

lượng các mã độc hại trên di động. Theo đó chỉ tính riêng trong 3 tháng đầu năm 2013,

Kaspersky đã phát hiện được số lượng mã độc mới trên các nền tảng di động bằng tổng

số lượng mã độc được phát hiện trong cả năm 2012 mà Android là nền tảng chịu ảnh

hưởng nặng nhất.

Với việc Android tiếp tục trở thành “mồi ngon” của hacker trong việc phát tán các

loại mã độc, có vẻ như Android đang dần trở thành một “Windows thứ 2” trên lĩnh vực

bảo mật, khi sự phổ biến của nền tảng này đang thu hút tối đa sự chú ý của các tin tặc,

đồng thời việc quản lý các ứng dụng cho Android một cách lỏng lẻo càng tạo điều kiện

cho mã độc được phát tán dễ dàng hơn trên nền tảng di động này.


Trang 3

Bên cạnh lĩnh vực mã độc trên nền tảng di động, báo cáo về tình trạng bảo mật

trong quý 1/2013 của Kaspersky cũng cho biết 91% các vụ phát tán mã độc chủ yếu dựa

vào việc phát tán các đường link trang web có chứa mã độc. Các đường link có chứa mã

độc này chủ yếu được phát tán thông qua email và trên các mạng xã hội như Facebook,

Twitter… Đây được xem là biện pháp được yêu thích nhất hiện nay của hacker.

Con số cụ thể các loại mã độc (bao gồm cả trên nền tảng di động và các nền tảng

khác) đã được Kaspersky phát hiện và vô hiệu hóa trong quý I năm 2013 là

1.345.570..352 mã độc (hơn 1 tỉ mã độc). Trong đó có hơn 60% các loại mã độc phát

tán từ 3 quốc giá: Mĩ (25%), Nga (19%) và Hà Lan (14%).

1.4. Malware – tiêu biểu của trên Android.

Đã không còn chỉ là mối lo ngại với người sử dụng máy tính, hiện nay Malware đã và

đang tấn công mạnh mẽ đến các hệ điều hành dành cho smartphone, đặc biệt là Android.

Malware (phần mềm ác tính) viết tắt của cụm từ Malicious Sofware, là một phần

mềm máy tính được thiết kế với mục đích thâm nhập hoặc gây hỏng hóc máy tính mà

người sử dụng không hề hay biết. Người viết nên nó ban đầu chỉ tập trung vào máy tính,

nhất là Windows khi nó chiếm đến 90% tổng số Malware xuất hiện trên các nền tảng,

bên cạnh đó là các OS khác như Linux, Chrome OS, MacOs... nhưng không đáng kể.

Tuy nhiên giờ đây khi smartphone đang ngày càng phát triển và phổ biến dần thay thế

máy tính từ các công việc soạn thảo văn bản, giải trí đến giao dịch ngân hàng thì nó trở

thành mục tiêu tấn công của Malware.

Theo thống kê của các hãng bảo mật trên thế giới thì hiện các Malware hiện nay

mới chỉ dừng lại ở mức độ xâm nhập và ăn cắp thông tin của người dùng và nó chưa có

cơ chế lây lan. Theo các kết quả trên thì Malware trên Smartphone hiện nay về cách

thức hoạt động giống như một phần mềm gián điệp (Trojan), phần lớn nhắm vào dịch

vụ Mobile Banking trên Smartphone để lấy cắp thông tin, các thao tác xác nhận... thông

qua việc sử dụng SMS Spy, tức là theo dõi tin nhắn SMS khi bạn thực hiện giao dịch

với ngân hàng. Bên cạnh đó là nhằm vào các cuộc gọi thực hiện trên máy bạn, tắt một

số dịch vụ để dễ kiểm soát.

1.4.1. Cơ chế hoạt động của Malware.

Lấy một ví dụ cụ thể về 1 Malware rất phổ biến trong thời gian vừa qua đó là

Malware DroidDream. Malware này hoạt động qua 2 giai đoạn:

Giai đoạn 1: DroidDream được nhúng vào trong một ứng dụng (số lượng ứng

dụng chứa Malware này hiện đã nhiều hơn 50 ứng dụng) và sẽ chiếm được quyền root

vào thiết bị của bạn ngay sau khi bạn chạy ứng dụng đó trong lần sử dụng đầu tiên.


Trang 4

Giai đoạn 2 : Tự động cài đặt một ứng dụng thứ 2 với một permission đặc biệt

cho phép quyền uninstall. Một khi các ứng dụng thứ 2 được cài đặt, nó có thể gửi các

thông tin nhạy cảm tới một máy chủ từ xa và âm thầm tải thêm các ứng dụng khác Một

khi DroidDream chiếm được quyền root, Malware này sẽ chờ đợi và âm thầm cài đặt

một ứng dụng thứ hai, DownloadProviderManager.apk như một ứng dụng hệ thống.

Việc cài đặt ứng dụng hệ thống này nhằm ngăn ngừa người dùng xem hoặc gỡ bỏ cài

đặt các ứng dụng mà không được phép.

Không giống như giai đoạn 1, người dùng phải khởi động ứng dụng để bắt đầu

việc lây nhiễm, ở giai đoạn thứ 2 ứng dụng tự động làm một số việc như là confirm,

checkin….Một điều nữa khiến cho bạn không thể biết chúng hoạt động lúc nào, đó là

Malware DroidDream này được lập trình để làm hầu hết các công việc của mình vào

khoảng thời gian từ 11h đêm tới 8h sáng ngày hôm sau. Đây là khoảng thời gian mà

điện thoại ít có khả năng được sử dụng nhất. Điều này làm cho người dùng khó khăn

hơn trong việc phát hiện một hành vi bất thường trên chiếc smartphone của mình.

1.4.2. Mục đích của Malware DroidDream

DroidDream được coi là một trong những Malware đầu tiên trên Android, mục

đích của con DroidDream này mới chỉ dừng lại ở mức độ làm cho chiếc điện thoại của

người dùng tự động cài đặt những ứng dụng chứa mã độc khác. Tuy nhiên các biến thể

của nó đã kịp thời biến đổi để gây ra các mối nguy hại lớn hơn rất nhiều. Ví dụ như

Hippo SMS được tìm thấy mới đây có khả năng tự gửi tin nhắn mà không cần sự cho

phép của người dùng, việc này sẽ khiến tiền cước phí của người dùng tăng lên một cách

chóng mặt mà người dùng không biết rõ lí do tại sao. Hoặc một Malware khác là Zitmo,

Malware này đưa ra các ứng dụng kích hoạt mọi hành động liên quan đến dịch vụ ngân

hàng, tiếp nhận SMS gửi đến và chuyển tới máy chủ. Các đoạn code dùng 1 lần mà các

ngân hàng thường gửi tới khách hàng thông qua tin nhắn SMS để chứng thực sẽ bị thu

thập bởi các malware này.

Hiện nay còn có một số Malware còn có khả năng nghe lén tất cả các cuộc điện

thoại. Vấn đề này thực sự nguy hiểm khi tất cả các vấn đề riêng tư của chúng ta đang bị

một theo dõi, vì vậy những mối nguy hiểm từ mã độc trên android đang thực sự đe dọa

đến an sự an toàn của người dùng hệ điều hành này.

1.5. Cơ chế bảo mật trong Android.

1.5.1. Tính bảo mật trong Android

Các ứng dụng android được tách biệt với nhau trong quá trình thực thi.

Các ứng dụng android được phân biệt bởi system ID.

Các ứng dụng android phải được signing mới có thể cài đặt vào hệ thồng.

Bảo mật trong android được thể hiện qua cơ chế “Permission”

1.5.2. Cơ chế Permission:


Trang 5

Bất cứ những tác vụ nào gây ảnh hưởng cho các ứng dụng khác, hệ điều hành và

người sử dụng thiết bị đều đươc bảo vệ bởi cơ chế Permission, ví dụ như đọc gửi tin

nhắn, truy cập mạng, thực hiện cuộc gọi, truy cập vào thông tin cá nhân,..Nói cách khác

người lập trinh ứng dụng sẽ khai báo Permission cho những nguông tài nguyên này sẽ

được thông báo đến người dùng trước khi cài đặt ứng dụng.

1.5.3. Google Play:

Kiểm soát các mã độc trên ứng dụng.

2. Cài đặt một số chương trình có mã độc trên Android.

2.1. iCalendar

iCalendar là 1 chương trình dạng lịch xuất xứ từ Trung Quốc có gắn kèm mã độc thực

hiện gửi 1 tin nhắn đến 1 số điện thoại định trước mà không thông qua sự cho phép của

người dùng.

2.1.1. Các công cụ cần thiết:

Super Apk tool: https://code.google.com/p/super-apk-tool/

File iCalendar.apk: http://securityxploded.com/demystifying-android-

malware.php

Hai máy ảo Android (xem hướng dẫn tạo máy ảo ở trên).

2.1.2. Các bước thực hiện:

Khởi động cả 2 máy ảo Android. Ở đây gồm 2 máy Android01 mã số 5554 dùng

làm máy cài iCalendar và Android02 mã số 5556 dùng làm máy nhận tin nhắn trái phép

từ máy Android01.

Dùng Winrar giải nén tập tin Super Apk tool vừa download về vào thư mục bất

kỳ ta được như hình:

Hinh 16. Folder Super Apk Tool.

Chọn và khởi động phiên bản phù hợp với hệ điều hành.

https://code.google.com/p/super-apk-tool/

http://securityxploded.com/demystifying-android-malware.php

http://securityxploded.com/demystifying-android-malware.php


Trang 6

Hinh 17. Super Apk Tool.

Tại màn hình chính của Super Apk Tool chọn Project -> New Project (hoặc ấn

Ctrl + N).


Trang 7

Hinh 18. Mở file iCalendar.apk

Tại cửa sổ hiện ra tìm đến thư mục lưu trữ file iCalendar.apk và mở ra. Đặt tên cho

project tại mục Project Name (có thể để mặc định) -> chọn Ok để xác nhận. Đợi chương

trình giải mà ngược xong ta được như hình. Vào View -> View Smali Code.


Trang 8

Hinh 19. View Smali Code.

Tại đây vào tiếp theo đường dẫn .\com\mj\iCalendar ta được

Hinh 10. Thư mục iCalendar.

Mở file iCalendar.smali và file SmsReceiver.smali bằng Notepad hoặc

Notepad++ và thực hiện như hình bên dưới sau đó lưu lại.


Trang 9

Hinh 21. File iCalendar.smali.

Hinh 22. File SmsReceiver.smali.

Trở lại màn hình chính của Super Apk Tool


Trang 10

Hinh 23. Build Projects.

Chọn máy Android dùng để cài đặt (Android01 có mã 5554) sau đó vào Run ->

Build (hoặc ấn F5). Chương trình sẽ tự động đóng gói project thành file apk, signing,

cài đặt sau đó mở ứng dụng tại Android01. Ta được kết quả.


Trang 11

Hinh 24. Cài đặt thành công iCalendar.

Tại đây ta ấn chọn 7 lần trong giao diện của iCalendar mã độc sẽ được kích hoạt

và gửi tin nhắn đến máy Android02.

Hinh 25. Android02 nhận được tin nhắn từ iCalendar.

2.2. iMatch

Tương tự như iCalendar, iMatch cho phép gửi tinh nhắn trái phép khi mã độc bị kích

hoạt. Điểm khác nhau ở đây là iMatch là một ứng dụng game và mã độc có thể gửi bốn tin

nhắn cho 4 số điện thoại giống hoặc khác nhau.

2.2.1. Các công cụ cần thiết:

Super Apk tool: https://code.google.com/p/super-apk-tool/

iMatch : http://contagiodump.blogspot.com/2011/03/take-sample-leave-sample-

mobile-malware.html

Hai máy ảo Android (xem hướng dẫn tạo máy ảo ở trên).

2.2.2. Các bước thực hiện:

Thực hiện tương tự như với iCalendar.apk nhưng thay thế bằng file iMatch.apk.

Tại bước View Smali Code ta vào tiếp theo đường dẫn .\com\mj\utils ta được

https://code.google.com/p/super-apk-tool/

http://contagiodump.blogspot.com/2011/03/take-sample-leave-sample-mobile-malware.html

http://contagiodump.blogspot.com/2011/03/take-sample-leave-sample-mobile-malware.html


Trang 12

Hinh 26. Thư mục untils.

Mở file MJUtils.smali bằng Notepad hoặc Notepad++ và thực hiện đổi số điện

thoại người nhận và nội dung tin nhắn tại bốn vị trí sau :

Hinh 27. Nội dung tin nhắn 1.





Trang 13

Sau khi lưu lại ta buil và nhận được kết quả

Hinh 31. Kết quả chạy chương trinh iMatch.

Ta thấy khi ứng dụng iMatch tai máy Android01 được khởi động thì có bốn tin

nhắn được gửi đến máy Android02 (vì ở đây thiết đặt bốn số điện thoại đến giống nhau

là máy Android02).

Education

Bao cao athena 1