背景介绍

肚脑虫(APT-C-35)，由奇安信高级威胁研究团队持续跟踪发现并命名，其主要针对巴基斯坦等南亚地区国家进行网络间谍活动的组织。该组织主要针对政府机构等领域进行攻击，其中以窃取敏感信息为主。

自第一次发现该组织的攻击活动以来，奇安信威胁情报中心对该组织一直保持着持续跟踪，近期发现了其包名为com.tencent.mm(微信包名)最新的移动样本，相比于之前发现的Donot(肚脑虫)移动端程序，此次发现的程序对其代码结构进行了调整，但其C&C和功能方面依然保持了之前Donot(肚脑虫)的风格。

同时在此期间也发现了在早期版本框架基础上修改的新样本，主要是对获取C&C的方式做了改变，其舍弃硬编码C&C方式，利用Google Docs(谷歌在线文档编辑系统)的方式来灵活改变C&C信息。

诱饵分析

此次发现的名为”SafeShareV67”的移动app使用了腾讯微信包名（com.tencent.mm），其通过使用正规app的包名来伪装自己，其真实意图还未可知。同时对其代码框架分析，发现此次结构调整非常大，也对部分功能代码进行了混淆。可以大致判定此样本是经过精心准备的。

并且发现该样本上传地印度:

一、样本分析

我们所分析的样本基本信息如下：

1.1 样本行为描述

该恶意样本名称为“Android Database Library”（其包名为微信包名），通过伪装为Android数据库组件来诱骗用户安装使用，从而可以进一步实施恶意行为；样本运行后会弹出是否开启辅助功能设置框，并会隐藏自身图标，使用户放松警惕，从而达到保护自身的目的；恶意样本在用户手机运行后，会定时从固定服务端获取远程控制指令，从而实现不同的恶意功能，其相关的远控操作有：获取用户手机通话记录信息、获取用户手机通讯录信息、获取用户手机短信息、获取App输入的内容信息、获取外置存储卡文件列表信息、获取用户手机已安装软件列表等；恶意软件会将获取的用户信息保存在本地文件夹下，并上传至服务器。

1.2 样本基本信息

样本安装图标：

运行界面：

1.2.1 样本申请权限列表

1.3 详细分析过程

1.3.1 诱骗用户运行并误导用户此程序为正常程序

通过伪装为Android数据库组件来诱导用户点击”OK”，同时跳转到系统的辅助功能界面，然后在后台运行程序。这样操作能误导用户认为此程序是一个android组件程序。

1.3.2 隐藏图标保护自身

样本运行以后则会隐藏删除自身图标，使用户放松警惕，从而达到保护自身的目的。

1.3.3 根据服务端下发的控制指令，进行相关的恶意操作

恶意样本在手机中运行后，会定时从服务端获取远程控制指令，从而实现不同的恶意功能，其相关的远控操作有：获取用户手机通话记录信息、获取用户手机通讯录信息、获取用户手机短信息、获取App输入的内容信息、获取外置存储卡文件列表信息、获取用户手机已安装软件列表等；恶意软件会将获取的用户信息保存在本地文件夹下，并上传至服务器。

1）定时从服务器中获取远控指令信息：

2）对指令信息进行解析并下发对应的指令操作：

3）相关的指令操作：

指令	指令功能
Call	获取用户手机通话记录信息
CT	获取用户手机通讯录信息
SMS	获取用户手机短信息
Key	获取App输入的内容信息
Tree	获取外置存储卡文件列表信息
AC	获取Account信息
Net	获取WiFi、设备厂商等信息
CR	设置用户手机电话通话录音
LR	设定特定时间段录音
FS	文件上传开关
GP	获取地理位置信息
PK	获取用户手机已安装软件列表
CE	获取日历事件信息
Wapp	获取whatsapp聊天信息

指令Call：获取用户手机通话记录信息

指令CT：获取手机通讯录信息

指令SMS：获取用户手机短信息

指令Key：获取App输入的内容信息

指令Tree：获取外置存储卡文件列表信息

指令AC：获取Account信息

指令Net：获取WiFi、设备厂商等信息

指令CR：设置用户手机电话通话录音

指令LR：设定特定时间段录音

指令FS：文件上传开关

指令GP：获取地理位置信息

指令PK：获取用户手机已安装软件列表

指令CE：获取日历事件信息

指令Wapp：获取whatsapp聊天信息

二、老框架新方式

近期奇安信红雨滴团队捕获到了Donot（肚脑虫）移动样本在老框架上利用Google Docs(谷歌在线文档编辑系统)的方式来获取C&C信息，此方法能更灵活的改变C&C信息。同时奇安信红雨滴团队在第一时间对其利用方式进行了披露：

样本信息：

其样本的代码框架沿用了最早期的版本，如下图所示：

其主要在获取C&C的方式进行了改变，早期样本都是直接硬编码C&C信息，而新捕获到的样本利用Google Docs(谷歌在线文档编辑系统)的方式来获取C&C信息，这样就能灵活修改C&C信息。此种方式获取C&C信息，是Donot家族系列中首次使用。

最新获取C&C方式:

早期的硬编码写入C&C方式：

使用浏览器访问https://docs.google.com/uc?id=0B1RDq_Zx683GbDVBTmpWbFFuaDg后，则会提示保存file.txt的文件。

下载file.txt后，发现其保存了其真实的远控服务器信息(151.236.11.222:50240)。

三、工具演进

近期捕获的Donot（肚脑虫）样本与之前的历史框架进行比对发现，其框架在近期做了较大的调整。同时在最新发现的样本中，发现其在早期版本中利用Google Docs(谷歌在线文档编辑系统)的方式来获取C&C信息。

总结

从本次捕获到的Donot（肚脑虫，APT-C-35）APT样本来看，该APT团伙依然以巴基斯坦相关人士作为首要攻击目标。通过其对代码框架的改变及在老版本利用Google Docs的方式来看，或许近期将发起新一波的网络间谍活动。

奇安信威胁情报中心红雨滴团队将继续关注Donot APT组织的最新进展。

IOC

MD5：

7BB0B6EB3383BE5CEC4B2EABF273C7F9
103CFBC4F61DD642F9F44B8248545831
1278A5F65FC0C4A3BABFFCF1117DB1C0

C&C

whynotworkonit.top
genwar.drivethrough.top
151.236.11.222:50240

参考信息

[1] https://ti.qianxin.com/blog/articles/stealjob-new-android-malware-used-by-donot-apt-group/

[2] https://twitter.com/RedDrip7/status/1145539943323717632

*本文作者：奇安信威胁情报中心，转载请注明来自FreeBuf.COM