针对巴基斯坦的Chenab监控活动安卓样本分析

背景

印巴冲突历来已久，其归根到底是克什米尔问题，克什米尔争端是指印度和巴基斯坦对查谟和克什米尔地区主权纷争而引发的一系列问题，克什米尔争端是英殖民主义在1947年撤出印度时留下的。

2019年10月5日，印控克什米尔地区政府办公室遭到手榴弹袭击，目前已造成至少14人受伤，再次加剧当地紧张气氛。6日，数千名巴控克什米尔地区民众开始聚集在印巴实际控制区分界线附近，抗议印控克什米尔地区被封锁。巴基斯坦总理伊姆兰·汗随后在社交平台上表示，希望民众不要越线，任何对印控克什米尔地区的人道主义援助，都会“被印度利用”。

自8月5日印度政府宣布取消宪法赋予印控克什米尔地区的特殊地位后,印巴局势骤然升级。取消特殊地位意味着印控克什米尔地区曾享有的自治权不复存在,而印度宪法将完全适用于这里。印度还封锁了印控克什米尔大部分地区,切断当地对外通讯,包括手机、互联网和固线电话,并增派军队到边界地区。这一单方面改变克什米尔现状的做法立即招来巴基斯坦强烈反弹,巴方随即决定降低与印度的外交关系级别,并中断双边贸易。

而近日，奇安信病毒响应中心捕捉到了一起极具目的性的安卓APK攻击，经过研判发现其攻击目标疑似为巴基斯坦。此次攻击事件涉及的样本乌尔都翻译为“河边” ，联系到奇纳布河（Chenab River）流域发生过印巴水资源争议，1960年9月达成《印度河水协定》。根据协定，奇纳河、印度河及杰赫勒姆河划归巴基斯坦。奇纳布河（Chenab River）上游经过经克什米尔查谟（Jammu）地区，目前是巴基斯坦控制区域。有理由相信在8月5日之后，各方在该地区的监控会加强，这次针对奇纳布河（Chenab River）上游的监控活动，我们正式命名为Chenab。

诱饵分析

这次捕获到的apk样本名为“ندائےحق”(乌尔都语：河边)，大家都知道乌尔都语为巴基斯坦的国语，通过伪装为正常应用(恶意样本加载正常应用)来实现全面监控的作用，能实时捕捉到巴基斯坦国内最新动态。“河边”代号可能是基于历史与地理位置，奇纳布河（Chenab River）存在争议，奇纳布河（Chenab River）上游又经过克什米尔地区，使人不得不去联想到印巴克什米尔冲突，近年来在“克什米尔”地区的冲突也是愈演愈烈。

通过关联样本分析发现，此框架下适用任何针对任何app进行伪装，在关联样本中发现疑似针对巴基斯坦来伪装相关应用，具有很强的针对性，疑似印度针对巴基斯坦近期制定了监控计划。

诱饵APP图标：正常APP图标：

样本运行截图：

样本申请的权限：

样本分析

样本概况

文件名称	29E94BC62CBFA221A051E07E23588016.apk
软件名称	ندائےحق
软件名称翻译	河边
软件包名	com.gellery.services
MD5	29E94BC62CBFA221A051E07E23588016
安装图标

样本行为描述

此次捕捉的针对阿拉伯国家的恶意样本，通过释放加载正常的应用程序，隐藏自身图标来实现隐藏自身，让用户误以为安装并更新了一个正常的应用程序。此恶意程序在后台运行时，则会通过远程服务器下发指令(总计56个指令)来实现对用户进行全方位的监控。其恶意操作有：上传短信信息、上传联系人信息、上传电话记录、屏蔽短信、监听手机状态、开启GPS、远程拍照等操作。

远控指令列表：

网络指令	功能
msurc	设置音频源的值
udlt	更新配置信息并关闭远程连接
nofia	预留
setscrn	开启截屏
nofid	结束前台服务时删除通知
uclntn	设置用户ID并更新设置
setnoti	开启通知服务
setgpse	开启GPS
info	获取设备基本信息及配置信息
dirs/fldr	获取SD卡根目录信息
fles	获取指定目录下文件信息
ffldr	获取指定目录下的文件及目录信息
filsz	获取文件信息
notify	获取_HAENTIFI
file/afile	获取文件数据
thumb	获取图片
cnls	设置isCancl的值
delnotif	删除_HAENTIFI文件
unsnotif	注销通知服务
setnotif	注册通知服务
delt	删除文件
dowf	下载指定文件
capbcam	后置摄像头拍照并保存
capfcam	前置摄像头拍照并保存
capscrn	开启截屏
capscrns	开启连续截屏
scresize	设置屏幕大小
scrtops	发送广播
supdat	安装并运行指定的apk
runf	启动指定的应用
listf	向服务器回传文件数据
procl	向服务器回传运行程序列表信息
endpo	关闭指定应用的进程
calsre	设置电话记录的配置信息
recpth	上传_HAATNECS_
calstp	设置电话记录的配置为false
stsre	开启录音
stpre	停止录音
conta	获取联系人信息
clogs	上传电话记录
vibr\vibrate	设置手机震动参数
stoast	显示指定的通知信息
gcall	拨打指定号码
sesms	向指定号码发送短信
lntwok	上传本地网络信息
lgps	开启GPS并进行上传
clping	上传ping
smslg	上传短信信息
delth	删除_HAETALOG_
smsmon	注册屏蔽短信服务
smsmons	注销屏蔽短信服务
camoni	注册电话状态监听服务
camonis	注销电话状态监听服务