Android-троян THost9 распространяется через службы ADB

Hagaseca THost9, упакованный многоэтапный троянский модуль удалённого доступа для Android, связан с уязвимыми сервисами Android Debug Bridge (ADB), в том числе на устройствах Android и в контейнерах Redroid. Вредоносное ПО использует пакет com.hagaseca.thost9 и сертификат подписи с CN=hagaseca.

Загрузчик и функции троянского модуля

Загрузчик APK хранит исполняемый код в assets/hg, декодирует его с помощью однобайтовой операции XOR, распаковывает gzip и загружает восстановленный DEX в путь классов приложения. Он кэширует файлы, включая .hg.db и .tc9. Загрузчик запускает службу на переднем плане с почти пустым уведомлением, удаляет задачу приложения из списка недавних, регистрируется для запуска при загрузке системы и пытается сохранять доступность службы после прерывания.

При наличии необходимых привилегий загрузчик может активировать службу специальных возможностей com.hagaseca.thost9/.AS, чтобы инспектировать пользовательский интерфейс и взаимодействовать с ним. В более новой сборке проверяется наличие строки frida в файле /proc/self/maps. Если строка обнаружена, процесс завершается. В сборке также есть механизмы противодействия инструментированию.

Скачанный модуль tc9.dex, связанный с пакетом com.hagaseca.tc9.Main, поддерживает выполнение произвольных команд в оболочке, профилирование устройства, загрузку и скачивание файлов, создание TCP-туннелей, обратную оболочку и работу с дополнительными загружаемыми модулями. Для взаимодействия с C2-сервером модуль отправляет HTTP-запрос на апгрейд, похожий на WebSocket, и использует пользовательские заголовки, в том числе hg-token и hg-type. Данные модуля шифруются алгоритмом AES-128 в режиме CTR. Внутренний протокол не содержит кода аутентификации сообщений.

Червь ADB и установка

В состав THost9 также входят червь ADB и установщик. Червь обнаруживает службы ADB через mDNS или сканирует выбранный оператором диапазон сети /16. Он может проверить до 65 025 адресов, используя несколько рабочих процессов. На этом этапе отправляются необработанные кадры ADB CNXN, выполняется аутентификация с помощью подготовленных ключей ADB, загружается thost9.apk и запускается встроенный установщик.

При наличии привилегированного доступа установщик может разместить APK в каталоге /data/.hg, создать ссылку на него в /system/app, выдать разрешения, включить функцию специальных возможностей и изменить настройки ADB, в том числе сменить TCP-порт на 5554.

Признаки для обнаружения

Возможности обнаружения включают следующие признаки:

• пакет и подписанта;
• хэш этапа;
• файлы .tc9 и связанные с ними файлы;
• активацию функции специальных возможностей;
• неожиданное сканирование ADB;
• необработанный трафик CNXN;
• изменения свойств ADB;
• повторяющиеся подключения к инфраструктуре C2 Hagaseca.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.