Anubis Android银行木马技术分析及新近活动总结

背景介绍

Anubis(阿努比斯)是古埃及神话中的死神，以胡狼头、人身的形象出现在法老的壁画中。同时Anubis也是一种Android银行恶意软件，自2017年以来已经为全球100多个国家，300多家金融机构带来了相当大的麻烦。Anubis截止到目前为止，爆发地主要为欧洲国家，国内暂未发现该银行木马。

Anubis主要通过伪装成金融应用、手机游戏、购物应用、软件更新、邮件应用、浏览器应用甚至物流应用等，从而渗透进谷歌应用商店，诱骗用户下载安装。

Anubis木马功能强大，自身结合了钓鱼、远控、勒索木马的功能。Anubis通过仿冒各种应用诱骗用户安装使用，当软件被激活后，会展现给用户一个仿冒的钓鱼页面，从而获取用户敏感信息，如银行账号密码、个人身份信息等。Anubis具备一般银行木马的功能，包括屏蔽用户短信，获取转发用户短信等功能。Anubis同时可以从服务端获取远控指令，对用户手机进行进一步控制。Anubis还是第一个集成勒索软件功能的Android银行木马。Anubis功能之多、之强大，甚至可以作为间谍软件进行使用。

近期有国外安全研究者发现一款仿冒为西班牙邮政运营商Correos的恶意软件，该恶意软件运行后会释放仿冒为Google Play Service Updater V2.1的Anubis木马程序，诱骗用户安装更新。

诱饵关联

本次Anubis的载体为仿冒为西班牙邮政运营商Correos的恶意软件：

Correos官网：

经过盘古团队的Janus系统关联分析，我们发现了最新的12个Anubis载体，其图标去重后如下：

本次Anubis载体代码结构也基本相同：

样本分析

文件名称	Correos Rastreo.apk
软件名称	Correos Rastreo
软件包名	com.consultar.rastero
MD5	04D94228021B73E44261ADCCAD4173F3
安装图标

Anubis银行木马到目前为止功能大同小异，虽然仿冒的种类繁多，但核心代码结构并未有巨大的改变。Anubis代码核心以远控为主体，钓鱼、勒索等其它功能为辐，目的则为获取用户关键信息，窃取用户财产。

仿冒为Correos的程序运行后，会诱骗用户安装更新Google Play，而该更新软件即为Anubis木马程序。

仿冒为Correos的样本运行界面：

诱骗用户安装仿冒为Google Play Service Updater V2.1的Anubis木马程序：

通过拼接字符串获取下载链接：

访问数据：

获取到的Anubis木马程序：

当Anubis木马运行后，依然延续了恶意软件的“做贼心虚”的本质，先隐藏自身，达到保护自身的目的：

通过服务器可以下发30多种指令，获取对用户手机的全面控制权，其中主要功能有，获取键盘记录、加密用户手机文件、开启VNC远程、打开指定web界面等。

获取指令及上传获取到的用户信息的URL拼接：

主要远控指令分析：

指令 “Send_GO_SMS”：向指定电话号码发送指定内容。

指令 “nymBePsG0”：获取用户手机通讯录。

指令 “GetSWSGO”：获取用户手机短信。

指令 “|telbookgotext=”：获取用户手机通讯录。

指令 “getapps”：获取用户手机已安装应用。

指令 “getpermissions”：获取已有的权限信息。

指令 “startaccessibility”：权限请求。

指令 “startpermission”：权限请求。

指令 “=ALERT|”：提示消息。

指令 “=PUSH|”：推送通知。

指令 “startAutoPush”：根据不同国家，推送不同的消息。

指令 “RequestPermissionGPS”：请求获取地理位置权限。

指令 “|ussd=”：呼叫转移。

指令 “|recordsound=”：录音。

指令 “|replaceurl=”：替换URL。

指令 “|startapplication=”：启动指定应用。

指令 “getkeylogger”：获取键盘记录。

指令 “stopsound”：停止录音。

指令 “startsound”：开始录音。

指令 “startscreenVNC”：开启VNC远控。

指令”deletefilefolder:”：删除文件。

指令 “downloadfile:”：下载文件。

指令 “opendir:”：获取文件路径。

指令 “startforward=”：启动呼叫转移功能到指定号码。

指令 “stopforward”：停止呼叫转移功能。

指令 “|openbrowser=”：打开浏览器。

指令 “|openactivity=”：启动ActivityURL,打开一个web页面。

指令 “|cryptokey=”：对用户手机对应文件进行加密操作。

指令 “|decryptokey=”：对用户手机对应文件进行解密操作。

指令 “getip”：获取用户IP地址。

同源分析

通过分析样本远控代码，我们可以发现其功能繁多且全面，对应不同的指令功能，我们不难理解整个木马的运作流程及各个功能的目的。值得注意的是，木马有打开WEB页面的操作，虽然目前该URL已经失效，但我们结合之前的同源样本分析结果，可以发现要打开的URL即为钓鱼页面。

同源样本中，打开推特链接：

现已失效：

同源样本中之前国外的分析结果，打开推特获取备份C2:

打开解析后的链接，即为仿冒银行的登录页面：

新发现的Anubis相比于以前的做了加固处理，但是脱壳之后代码结构与之前的没有多大改变。

经过加固的代码结构：

脱壳后的代码结构：

Anubis旧版本代码结构：

新近活动

我们对2019年后的Anubis样本进行了数据统计，以便后期可以更好的进行监控。

统计Anubis仿冒的主要图标，我们可以发现，Anubis木马主要通过仿冒一些主流的应用或者浏览器插件，诱骗用户进行更新，从而可以最大限度的迷惑用户，使木马本身可以顺利安装到用户手机中。

通过统计2019年前4个月Anubis数量变化，我们可以发现，Anubis并没有因去年在国外大规模的爆发，被谷歌进行清理封杀而彻底消失或数量减少，其仍然一直存活着而且数量并没有减少，不间断的仍然会有人中木马病毒，虽然其域名被大量封杀，但并不能说明Anubis对用户手机已没有任何威胁，我们依然要谨防新的变种出现。

通过统计主要受害国家，我们可以看到受害国家主要集中在欧美地区，而土耳其与美国受害者最多，虽然目前国内暂未发现Anubis木马病毒，但我们也不能大意：

此外附上由Threatfabric总结的，Anubis自爆发以来仿冒全球378个金融机构应用程序信息：

总结

Anubis自爆发以来，其主要活动区域在欧美等地，虽然目前国内暂时没有发现此类银行木马，但其代码字符串混淆中，含有中文混淆方案，所以依然值得我们警惕。

Anubis主要以渗透进入谷歌商店为主要传播平台，木马本身以仿冒金融机构、主流应用程序、浏览器插件为主要伪装手段。

Anubis是结合了钓鱼、远控、勒索等功能的银行木马，其功能强大到甚至可以作为一款间谍软件的存在。虽然谷歌商店一直在清理相关恶意木马，但仍然有残留的软件在活跃，此次西班牙发现Anubis通过仿冒邮政运营商Correos进行传播，也说明了Anubis一直都在并没有消失，而且其数量也并没有减少，所以我们依然要对Anubis木马提高警惕，我们也会时刻关注Anubis最新变种的出现。

IOC

*本文作者：奇安信威胁情报中信，转载来自FreeBuf