7un4

[Android] 웨딩라이브 악성코드 정보

7un4 — Sat, 1 Feb 2025 04:13:59 +0900

피싱 사이트

1. SMS를 통해 피싱 사이트에 대한 단축 URL 유포: hxxps://yoro[.]cc/dNNm4
2. 리다이렉션 진행: hxxps://name[.]n-paypac[.]shop(104[.]21[.]17[.]167)
3. 사용자의 주소확인 버튼 클릭 시, [100~200]live.apk 다운로드: hxxps://name[.]n-paypac[.]shop/download

* PC 버전으로 피싱 사이트 접속 시, 정상 사이트인 hxxps://www[.]itscard[.]co[.]kr로 리다이렉션

웨딩라이브 피싱 사이트 접속 화면(악성 앱 다운로드 유도)

다운로드된 악성 앱(일부)

악성코드 정보

[100~200]live.apk(원본 악성코드) SHA-256: fe04c00cbc0d1184f55b220c3a66f71e2e34a990a9a256e9441b5453b2fa9b22
/assets/l6a254b67_a64.so(ABI에 따라 드롭되는 SO 파일) SHA-256: c5ea0f08bc086ad1b141076ee14ddb770db3f6fe8dafe3f269b128a5a55c9a61
/assets/l6a254b67_x64.so(ABI에 따라 드롭되는 SO 파일) SHA-256: b4a3fea98ca4fe7663fe3bcddef1d558cab3f3b0bf1b3f5aae76274a3a01fde5

* 25.01.31 발견, 추후 상세 분석 예정

[RAT] ROKRAT 악성코드 문자열 복호화 파이썬 스크립트

7un4 — Wed, 15 Jan 2025 12:38:17 +0900

복호화 스크립트

import struct


def sub_40E716(a1: list[int]) -> str:
    result = ""
    a1_bytes = struct.pack(f"<{len(a1)}I", *a1)
    if a1_bytes.endswith(b'\x00\x00'):
        a1_bytes = a1_bytes[:-2]

    key = a1_bytes[0]
    for i in range(2, len(a1_bytes), 2):
        current_byte = int.from_bytes(a1_bytes[i:i+1])
        decoded = (current_byte - key - 0x800) & 0xFF
        result += chr(decoded)

    return result


def sub_40E6D3(a1: list[int]) -> str:
    result = ""
    a1_bytes = struct.pack(f"<{len(a1)}I", *a1)
    if a1_bytes.endswith(b'\x00\x00'):
        a1_bytes = a1_bytes[:-2]

    key = a1_bytes[0]
    for i in range(2, len(a1_bytes), 2):
        current_byte = int.from_bytes(a1_bytes[i:i+1])
        decoded = (current_byte - key) & 0xFF
        result += chr(decoded)

    return result

분석 대상 ROKRAT SHA-256: bb83597cdf057db754def79d3f94b6cf8837b358178e10e4cc792da56a7523b3

IDA Pro에서의 KUSER_SHARED_DATA 구조체 매핑

7un4 — Fri, 5 Apr 2024 01:56:32 +0900

문제 발생

악성코드를 분석하던 중, KUSER_SHARED_DATA.NtBuildNumber를 참조하여 동작 환경의 빌드 넘버를 비교해 분기를 진행하는 루틴에 대한 분석 시, IDA Pro에서 해당 구조체의 멤버를 해석하지 못해 MEMORY[0x7FFE0260]과 같이 표현되는 경우가 발생하였다.

KUSER_SHARED_DATA.NtBuildNumber 해석 실패

메모리 내 KUSER_SHARED_DATA 영역

KUSER_SHARED_DATA 구조체 매핑 진행

1. Type Libaray 로드

Views → Open subviews → Type Libraries(Shift + F11)에서 우클릭 후, Load type library...(Ins)클릭

Views → Open subviews → Type Libraries (Shift + F11) → Load type library...(Ins)

ntddk 검색 후, 동작 환경에 맞게 선택

Available Type Libraries - ntddk 검색

추가된 Type Library

2. 구조체 생성

Views → Open subviews → Structres(Shift + F9)에서 우클릭 후, Add struct type...(Ins)클릭

Views → Open subviews → Structres(Shift + F9) → Add struct type...(Ins)

Struct name에 KUSER_SHARED_DATA 입력 진행

Create structure/union - KUSER_SHARED_DATA 입력

추가된 구조체

3. 세그먼트 생성 및 수정

3-1. KUSER_SHARED_DATA 세그먼트 생성

Edit - Segments - Create segment... 클릭 후, Create a new segment에서 아래와 같이 KUSER_SHARED_DATA 영역에 대한 정보 입력 진행

Edit → Segments → Create segment...

Create a new segment - KUSER_SHARED_DATA 정보 입력

3-2. KUSER_SHARED_DATA 세그먼트 수정

생성한 KUSER_SHARED_DATA 세그먼트의 시작 주소인 0x7FFE0000으로 이동 후, Edit → Struct var...(Alt + Q) 클릭

Edit → Struct var...(Alt + Q)

Choose a structure type에서 KUSER_SHARED_DATA 클릭

Choose a structure type - KUSER_SHARED_DATA

4. 디컴파일 진행 및 변수명 수정

View → Open subviews → Generate pseudocode(F5)를 통해 수도코도를 재생성하면 다음과 같이 구조체로 인식이 되었지만, 이름 설정이 되지 않았음을 알 수 있다. 따라서 Rename global item...(N)을 통해 이름 변경을 해주면 된다.

다만, 이미 세그먼트의 이름을 KUSER_SHARED_DATA으로 생성했기에, 중복된 이름으로 설정이 불가능하여 언더바를 추가하였다.

구조체로 인식이 되었지만, 이름 설정이 되지 않은 상태

Rename address - _KUSER_SHARED_DATA

5. 매핑 완료

최종적으로 매핑이 완료된 KUSER_SHARED_DATA

참고 자료

https://reverseengineering.stackexchange.com/questions/26157/how-to-show-kuser-shared-data-members-in-decompiled-c-code