Automatisation de la récupération des Command and control et de la liste des victimes des botnets Anubis

Magazine
Marque
MISC
Numéro
109
Mois de parution
mai 2020
Domaines


Résumé

Cet article présente un outil d’analyse d’applications Android simple et l’illustration de sa mise en œuvre dans le cadre de l’extraction de la liste des C&C et des victimes du botnet Anubis.


Les analyses de malwares Android dans le but de récupérer des IOC tels que les adresses des C&C accédés ou des informations relatives aux botnets s’avèrent rapidement fastidieuses et répétitives.

Cet article se propose de présenter dans un premier temps l’implémentation d’une sandbox simple permettant d’extraire des informations d’applications suspectes, puis dans une seconde partie d’automatiser la collecte des victimes d’un serveur de C&C Anubis.

1. Sandbox Android

Il existe plusieurs systèmes de sandbox Android commerciales et open source, nous allons voir une implémentation simple d’une sandbox qui regroupe plusieurs modules dans le but d’automatiser l’analyse d’un lot d’applications.

L’implémentation de la sandbox se divise en quatre parties, toutes orchestrées par un moteur écrit en python :

  • un émulateur (AVD) ou un appareil physique rooté ;
  • une instance mitmproxy ;
  • un script Frida permettant d’instrumenter les...
Cet article est réservé aux abonnés. Il vous reste 95% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite
Références

[1] E. Vanderbéken, « Frida : le couteau suisse de l’analyse dynamique multiplateforme », MISC n°92, juillet 2017 : https://connect.ed-diamond.com/MISC/MISC-092/Frida-le-couteau-suisse-de-l-analyse-dynamique-multiplateforme

[2] Android Malware Sandbox : https://github.com/Areizen/Android-Malware-Sandbox

[3] Tim 'diff' Strazzere : https://github.com/strazzere/anti-emulator

[4] Mattia Vinci, Maurizio Agazzini : https://techblog.mediaservice.net/2018/11/universal-android-ssl-check-bypass-2/ 

[5] Mobile Malware Analysis Tricks used in Anubis : https://eybisi.run/Mobile-Malware-Analysis-Tricks-used-in-Anubis/

[6] Unpacking Anubis APK : https://sysopfb.github.io/malware,/reverse-engineering/2018/08/30/Unpacking-Anubis-APK.html

[7] Изучаем Anubis : https://xss.is/threads/33393/



Articles qui pourraient vous intéresser...

Retours d’un hackathon 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Encore insouciant de la crise qui allait frapper le monde fin 2019, un hackathon de 24h a eu lieu à l’université d’Oulu [1] en Finlande afin d’anticiper les attaques sur les futures installations 5G de manière pratique. Nous verrons dans cet article comment il a été possible d’avoir la main sur la quasi-totalité d’un réseau 5G privé comme celui du campus d’Oulu à partir d’une carte USIM et d’un téléphone 5G. Puis, nous verrons d’autres perspectives en termes de tests d’intrusion avec les outils publics actuels.

Introduction au dossier : Tour d’horizon de la sécurité de la 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Le présent dossier est consacré à un tour d’horizon de la sécurité de la cinquième génération de téléphonie mobile, la fameuse 5G. Au-delà des promesses usuelles avec l’arrivée d’un nouveau réseau, plus de débit, moins de latence, plus de service, on notera également l’avalanche de buzzwords et de polémiques qui a entouré sa promotion. On pourrait aussi se pencher sur les questions politiques et économiques sous-jacentes au déploiement de cette technologie, mais MISC n’a pas encore de corner géopolitique (il faut, pour cela, savoir lire entre les lignes).

La sécurité des communications 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Les réseaux 5G commencent à être déployés dans le monde entier, présentés comme le Graal de la technologie cellulaire. Les évolutions proposées par la 5G concernant la sécurité des communications des abonnés sont réelles ; cependant, la technologie actuellement déployée par les opérateurs ne propose bien souvent aucune de ces améliorations. Regardons de plus près ce qui rendra les communications 5G plus sûres à l’avenir.

Exploitation avec Frida en environnement rooté et non rooté sous Android

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

À l'heure du numérique et de la navigation mobile, les statistiques [STATS] montrent bien une envolée de l'utilisation des applications mobiles. De plus, avec le confinement, ces applications ont établi de nouveaux records d'utilisation. Pour comprendre les dessous d'une application mobile, il est parfois nécessaire d'analyser cette dernière dynamiquement (pendant son utilisation), que cela soit dans un environnement rooté ou non en fonction des différentes contraintes.

Désamorcer des bombes logiques

Magazine
Marque
MISC
Numéro
111
Mois de parution
septembre 2020
Domaines
Résumé

Aujourd’hui, les développeurs de code malveillant sont capables de contourner les mesures de sécurité et les techniques d’analyse les plus poussées grâce à de simples mécanismes appelés « bombes logiques ». Un exemple significatif est le Google Play qui accepte toujours des applications malveillantes pouvant déjouer ses barrières de sécurité. Cette introduction aux bombes logiques permet de sensibiliser sur les différentes solutions pouvant être mises en place pour détecter ces artifices.