概述

近日，奇安信病毒响应中心在日常样本监控过程中发现了一批伪装成点读通.apk、作业帮.apk、手机找回.apk、PUBG.apk等国内用户常用软件的MobiHok家族样本。

样本在执行过程中为了迷惑用户会安装内置的正规APK，真正的恶意程序则隐匿执行，用户在此过程中一般感觉不到异常，从而窃取用户短信、联系人、通话记录、地理位置、键盘记录、文件目录、应用信息、手机固件信息、录音、录像、截屏、拨打电话、发送短信等。

基于奇安信的多维度大数据关联分析，我们已经发现国内有用户中招，为了防止危害进一步扩散，我们对该远控木马进行了详细分析，并给出解决方案。

MobiHokRAT简介

MobiHok最早在2019年七月份在地下论坛中被发现，售卖者名为“Mobeebom”，除了在多个阿·拉伯语地下论坛活跃之外，售卖者还通过FaceBook、youtube进行宣传，在FaceBook进行宣传时同样使用了阿拉伯文。

YouTube中拍摄了各个版本的运行视频和一些安全机制绕过方法：

目前V4版本已经免费，在其官网上可以下载，其余版本收费情况如下，价格不菲：

相关证据表明在V4版本免费之后，国内使用该家族的团伙逐渐变多，且V4版本就可以绕过华为、三星、Google Play安全机制和FaceBook身份验证。奇安信监控的数据如下：

V4版本主控端界面如下：

Mergin App项中可以嵌入任意正规APP。

样本分析

相关样本如下：

申请的权限：

该远控APK木马功能复杂，在执行过程中会运行内置正规Apk软件来迷惑用户，可以从资源中dump出正规的apk文件：

安装后为作业帮app：

而木马则在手机中隐秘执行，监听电池变化的广播，每当电池电量有变化时，计算百分比，并获取充电类型：

获取手机网络链接类型：

测试是否能访问www.google.com：

查看屏幕保护的状态：

会静默安装内置的正规APP，并启动：

kforniwwsw0类作为服务在MainActivity中被调用，连接远程C2服务器：

远控功能列表整理如下

相关的远控操作：

相关功能代码：

FSettings获取本机设备相关信息，如手机号、SDK_INT、Language、Siminfo、IMSI、IMEI、MAC、SSID、RSSI等相关信息：

获取当前音频模式：

获取手机摄像头相关信息：

获取通话记录相关信息。姓名、电话号、类型、持续时间：

录音功能：

文件管理：

音频管理：

键盘记录：

下载者：

获取联系人信息：

拨号功能：

添加新联系人：

总结

近年来，诸如SpyNote、AhMyth、AndroRAT等安卓远控相继免费甚至公开源代码，黑产向移动端转型的成本大大降低，相比于PC端的远控，安卓远控在地下论坛中售价较为便宜，1500-2500不等，有些中间商甚至使用开源的远控框架不做任何免杀就在地下论坛进行贩卖。

奇安信病毒响应中心提醒用户不要安装未知来源的APP，同时提高个人的安全意识，从而可以防止用户隐私信息被盗取的风险，目前奇安信威胁情报中心文件深度分析平台，奇安信病毒响应中心会移动安全团队会持续对新型远控框架的跟踪，目前奇安信威胁情报中心文件深度分析平台

（https://sandbox.ti.qianxin.com/sandbox/page）已支持Android样本分析：

同时基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC等，都已经支持对该家族的精确检测。

*本文作者：奇安信威胁情报中心，转载请注明来自FreeBuf.COM