RatHat получает локальную оболочку Android через беспроводную отладку

RatHat злоупотребляет службами «Доступность» и беспроводной отладкой, чтобы получить локальную оболочку ADB, работающую с UID 2000. Журналы вторжений и сетевые журналы позволяют восстановить последовательность атаки.

Android Intrusion Logging и корпоративная функция Delegated Scope собирают телеметрию операционной системы об активности за пределами стандартной песочницы приложения. Записи содержат сведения о запуске процессов и хэшах файлов, DNS-запросах, связанных с пакетами, сетевых соединениях, командах оболочки ADB и событиях аутентификации на экране блокировки. Delegated Scope даёт платформам MDM для управляемых устройств возможность предоставлять приложениям для информационной безопасности доступ к Security Logging и Network Logging без полных полномочий по управлению устройством. Intrusion Logging обеспечивает аналогичную видимость на поддерживаемых личных устройствах, если пользователь активирует эту функцию через Advanced Protection. Журналы шифруются на устройстве и хранятся не более двенадцати месяцев. Владелец устройства может явно расшифровать их и передать.

Для подключения к службе беспроводной отладки RatHat использует автономное сопряжение. Затем вредоносное ПО размещает независимые демон-процессы на Go, работающие вне жизненного цикла приложения. Такое закрепление сохраняется и после удаления основного приложения. RatHat также запускает процессы-сторожа, шифрует собранные PIN-коды, данные о рисунках разблокировки и учётные данные, а также проводит проверки на противодействие анализу.

Вредоносное приложение com.wkfuhirj.lchmwg быстро создаёт вспомогательные процессы guard1 и guard2. Через встроенные компоненты WebView оно запрашивает соединения с доменами, связанными с Disney, и устанавливает их, маскируя активность и отображая интерфейс, который выглядит легитимным. RatHat подключается к портам локального сопряжения и ADB, в том числе 41625 и 35933, чтобы создать привилегированную оболочку.

RatHat извлекает файлы liblocal-service.so и frpc, помещает их в /data/local/tmp/local-service и /data/local/tmp/frpc и назначает им права на выполнение. Затем вредоносное ПО запускает команды для отключения оптимизации заряда батареи и обхода ограничений фонового выполнения. Во время работы приложение взаимодействует с локальным демоном через 127.0.0.1:7912, разрешает домен fegrs.adidasabc.com и поддерживает периодические HTTPS-соединения с 8.231.120.246:443 для управления. Эти артефакты помогают следователям сопоставить события процессов, оболочки, DNS-запросов и сетевых соединений, чтобы выявить этапы размещения, закрепления, локального управления и внешнего взаимодействия.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.