Троян YuanKong удалённо управляет Android-устройствами
Анализ 110 дропперов YuanKong выявил 57 разных дочерних полезных нагрузок, 42 учётные записи операторов и 44 сменяемых бренда сборок. Идентификаторы операторов и коды регистрации можно извлекать из файлов статически, без обращения к инфраструктуре управления.
Дропперы и обмен данными с операторами
YuanKong распространяется для Android через дропперы, которые извлекают дочерний APK из встроенного контейнера SVLT. В ресурсах дроппера находится файл vault-config.json с ключом шифрования и вектором инициализации. Для расшифровки полезной нагрузки применяется простая операция XOR с двумя ключами: cipher[i] ^ key[i % keylen] ^ iv[i % ivlen]. Результат расшифровки представляет собой ZIP-архив с троянской программой удалённого доступа.
Дропперы подписаны сертификатом Nova, а дочерние полезные нагрузки используют общий сертификат YuanKong с отпечатком SHA-256 73cbe8e3730cacfdd208f22eab468bb5495a78c0eb2cb37eff5af0cafe321387. Троян использует мультитенантную архитектуру. Идентификаторы операторов apkAccountId, apkAccountName, apkAccountBindId и код регистрации, уникальный для сборки, хранятся в DEX в виде открытых строковых констант. Эти данные попадают в телеметрию, в том числе в сигналы от приложений, работающих на переднем плане.
YuanKong поддерживает постоянные соединения Socket.IO поверх WebSockets и использует, среди прочих, хосты apppanda.xyz, ktxapp.com, ktx123.net и IP-адрес 206.82.1.14. Сообщения передаются в типизированных структурах JSON, включая сообщения аутентификации, проверки связи и надёжной передачи данных. Шифрование на уровне приложения не выявлено, конфиденциальность соединения обеспечивается TLS.
Доступ к данным и управление устройством
Для взаимодействия с устройством троян использует службы доступности и экран, а не конфиденциальные разрешения поставщиков контента. Он может захватывать содержимое экрана, читать деревья доступности, в том числе поля ввода пароля, а также собирать данные из буфера обмена, уведомления и одноразовые пароли (OTP), файлы и геолокацию. Троян также способен удалённо имитировать касания, свайпы и нажатия клавиш.
В YuanKong поддерживается фишинг с помощью наложений для оплаты. Кроме того, троян может сопоставлять координаты клавиатуры, чтобы восстановить цифры PIN-кода, в том числе при взаимодействии с экраном блокировки. В проанализированной сборке функциональность камеры и микрофона отсутствует.
Троян активирует беспроводную отладку и устанавливает сопряжение с собственным демоном ADB устройства через локальный процесс на основе SPAKE2. Это даёт ему доступ к оболочке ADB, предположительно с UID оболочки 2000, а не с правами root. YuanKong может выполнять команды для предоставления разрешений WRITE_SECURE_SETTINGS, DUMP и PACKAGE_USAGE_STATS, добавлять себя в белый список для обхода ограничений режима простоя, устанавливать закрепление и управлять устройством.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
