Android安全技術周報 11.10 - 11.16

03-03

System

1. Google Pixel 2 中的鎖屏硬體保護模塊介紹

https://security.googleblog.com/2017/11/lock-it-up-new-hardware-protections-for.html

2. 利用Linux 內核 3.9 版本新引入的 SO_REUSEPORT socket 選項可以實現進程的無縫更新

https://twitter.com/i/web/status/929186475232649217

https://speakerdeck.com/joewalnes/linux-port-sharding

3. Linux kernel v4.14的一些有趣的安全特性

https://outflux.net/blog/archives/2017/11/14/security-things-in-linux-v4-14/

4. Reverse Engineering Xiaomi OTA Updates to Find Unreleased Updates

https://www.xda-developers.com/reverse-engineering-xiaomi-ota-updates/

5. 使用 LLVM 編譯 Android userspace 和 Linux kernel （Video）

https://www.youtube.com/watch?v=6l4DtR5exwo

Malware

1. 趨勢科技發現安卓惡意軟體利用Toast Overlay 攻擊手法安裝 TOASTAMIGO 惡意軟體：

http://blog.trendmicro.com/trendlabs-security-intelligence/toast-overlay-weaponized-install-android-malware-single-attack-chain/

http://bobao.360.cn/learning/detail/4684.html

2. Overlay攻擊之完美偽裝的移動銀行木馬 How Mobile Bankbots Disguise as Perfectly Trustworthy Apps

https://www.riskiq.com/blog/labs/mobile-bankbot/

http://bobao.360.cn/learning/detail/4693.html

3. Google郵件通知安卓app開發者將那些濫用Accessibility（「無障礙」)服務的app從Play Store中移除（在銀行木馬，移動勒索軟體，點擊欺詐機器人，廣告軟體以及任何其他種類的惡意app中經常出現無障礙服務的身影。多年來，這些惡意app想方設法誘導用戶給惡意app授權無障礙服務。因為一旦用戶授權，惡意app就可以在手機上後台任意下載執行惡意代碼）

https://www.bleepingcomputer.com/news/security/google-addresses-androids-biggest-security-problem-accessibility-services/

4. Magiclamp廣告病毒家族：寄生與應用市場的廣告牛皮蘚：

http://www.freebuf.com/articles/terminal/153484.html

5. 一款新型安卓惡意軟體被發現存在於144 個 GooglePlay 應用中

https://securingtomorrow.mcafee.com/mcafee-labs/android-malware-grabos-exposed-millions-to-pay-per-install-scam-on-google-play/#sf170418501

6. Google Play上又發現安卓木馬

https://blog.malwarebytes.com/cybercrime/2017/11/new-trojan-malware-discovered-google-play/

7. 多級釋放的惡意軟體溜進Google Play（為避免被檢測，將惡意代碼放在assets 目錄，在之後才被釋放）

https://www.welivesecurity.com/2017/11/15/multi-stage-malware-sneaks-google-play/

8. 潛伏的BadMedia木馬家族，用戶需謹慎下載破解應用

http://www.freebuf.com/articles/network/154029.html

9. 移動端DDoS產業

https://krebsonsecurity.com/2017/11/ddos-for-hire-service-launches-mobile-app/

10. 點擊型殭屍app：能夠自動點擊的安卓殭屍app（上）（之前發布文章的翻譯）

http://bobao.360.cn/learning/detail/4686.html

11. 以Emotet為例說一說識別C2伺服器以及它們的網路拓撲結構的方法

https://www.malwaretech.com/2017/11/investigating-command-and-control-infrastructure-emotet.html

http://bobao.360.cn/learning/detail/4702.html

12. 對垃圾郵件殭屍網路一探究竟

https://lokalhost.pl/txt/peering.into.spam.botnets.VirusBulletin2017.pdf

13. 卡巴斯基發布2018 年威脅預測：

https://securelist.com/ksb-threat-predictions-for-2018/83169/

14. 真實網站劫持案例分析

http://www.freebuf.com/articles/web/153788.html

15. 商業軟體暗藏後門病毒瘋狂扒取阿里、微信上的註冊企業信息（PC病毒）

https://mp.weixin.qq.com/s/4L33FXguWSDbuOpABpFadg

16. NTT Security 2017 威脅情報報告解讀：

https://zhuanlan.zhihu.com/p/30888595

Tech

1. 360最新虛擬殼脫殼後完全修復的詳細解析

http://www.freebuf.com/articles/terminal/152617.html

2. 代碼安全保障技術趨勢前瞻

http://www.freebuf.com/articles/neopoints/153253.html

3. ARM彙編基礎：

https://azeria-labs.com/assembly-basics-cheatsheet/

4. Azeria Labs 分享的用於學習 ARM 二進位逆向和漏洞利用的虛擬機

https://azeria-labs.com/arm-lab-vm/

5. Ruxcon 2017 會議的 PPT

https://ruxcon.org.au/slides/

6. PacSec 2017 會議的 PPT

https://www.slideshare.net/pacsecjp

7. BSidesLisbon 2017視頻

https://www.youtube.com/playlist?list=PLbuNP88_wbNx3RfhlCMhjlIEKg4t8YopL

8. SSL/TLS Decryption：uncovering secrets

https://lekensteyn.nl/files/wireshark-ssl-tls-decryption-secrets-sharkfest17eu.pdf

9. Drexel One API逆向工程

https://medium.com/@tomershemesh/reverse-engineering-the-drexel-one-api-370a560afedf

10. 谷歌驗證碼破解實例

http://rickyhan.com/jekyll/update/2017/11/10/bypassing-recaptcha.html

11. 使用IDA Pro對進程注入惡意軟體脫殼

https://www.youtube.com/watch?v=ScBB-Hi7NxQ

https://www.youtube.com/watch?v=kdNQhfgoQoU

12. Digging into radare2 for fun and profit

http://radare.org/get/r2avtokyo-en.pdf

13. Setup and tips for Android APK recon

https://b3nac.github.io/android/recon/2017/11/10/Setup-and-tips-for-Android-APK-recon.html

14. 自然語言處理（NLP）指南：

https://tomassetti.me/guide-natural-language-processing/

15. Google 對賬戶劫持攻擊根本原因的研究報告：

https://security.googleblog.com/2017/11/new-research-understanding-root-cause.html

Tool

1. APK-Anal - 基於 Radare2 的 Android APK 靜態分析工具：

https://github.com/mhelwig/apk-anal

2. rootkit - 針對 Ubuntu 16.04 和 10.04 的 rootkit：

https://github.com/nurupo/rootkit

3. Linux Process Hunter aims to find hidden process with all userspace and most of the kernelspace rootkits.

https://gitlab.com/nowayout/prochunter

4. HAXM - Intel 基於虛擬化技術（VT）實現的硬體輔助虛擬化引擎開源了，之前HAXM 被用於為 Android 模擬器加速：

https://github.com/intel/haxm

5. http://Hashes.org函數介紹

https://s3inlc.wordpress.com/2017/11/10/algorithms-on-hashes-org/

Vulnerability

1. Android 內核非常見 UAF 漏洞的利用，科恩實驗室申迪(Retme)在 PacSec 2017 會議的演講

https://speakerdeck.com/retme7/the-art-of-exploiting-unconventional-use-after-free-bugs-in-android-kernel

2. Armis 團隊分享的BlueBorne 藍牙漏洞 Exploit PoC

https://github.com/ArmisSecurity/blueborne

3. 在Nexus5 Android 6.0.1 版本上測試BlueBorne 藍牙漏洞 Exploit（CVE-2017-0781）：

https://jesux.es/exploiting/blueborne-android-6.0.1-english/

https://gist.github.com/jesux/64cf037c55c0d42196762c0ccacc7380

4. Android 5.0 版本引入了 MediaProjection Service。基於 MediaProjection 開發者可以實現對屏幕內容和系統音頻的抓取，為保護用戶，MediaProjection 使用時需要彈框得到用戶允許。 MWR Labs 這篇 Paper 介紹如何用 UI 重疊的技巧欺騙用戶點擊確認

https://labs.mwrinfosecurity.com/assets/BlogFiles/mwri-android-MediaProjection-tapjacking-advisory-2017-11-13.pdf

5. 一加（OnePlus）多款手機預裝的開發者模式（EngineerMode）APP 被懷疑是一個ROOT 許可權的後門，一加官方對此稱，EngineerMode是個官方遺留的診斷工具，接下來將通過 OTA 升級刪除。

https://www.nowsecure.com/blog/2017/11/14/oneplus-device-root-exploit-backdoor-engineermode-app-diagnostics-mode/

EngineerMode：Decompiled source code of the OnePlus EngineerMode app

https://github.com/fs0c131y/EngineerMode

6. 發現一加手機EngineerMode「疑似後門」的app的作者又發現一加手機上的一個應用（可在「撥號」界面按下*#800# 來啟動）。作者稱：「只需要申請撥打電話許可權、然後點擊一個按鈕，任何人都可以記錄你的GPS日誌、WIFI日誌信息，這些日誌都是以未加密的形式保存在sdcard目錄下的（以qmdl格式），之後任何其他應用只要申請了讀取外部存儲設備的許可權（READ_EXTERNAL_STORAGE）都可以讀取到。

https://twitter.com/fs0c131y/status/930787661035515904

https://www.bleepingcomputer.com/news/security/second-oneplus-factory-app-discovered-this-one-dumps-photos-wifi-and-gps-logs/

7. 不解鎖bootloader的情況下root 一加5的腳本

https://gist.github.com/aldur/b785257ac26d23bce648cad3ce2f6dc8

8. 在最新的Huawei Mate 9 Pro補丁上僅用NFC tag獲得root許可權

https://www.youtube.com/watch?v=UMrNQ1bnEBA

9. CVE-2017-5123 漏洞利用全攻略：

https://paper.seebug.org/451/

http://bobao.360.cn/learning/detail/4694.html

10. CVE-2017-16647: Linux kernel asix_devices.c NULL pointer dereference

https://xorl.wordpress.com/2017/11/10/cve-2017-16647-linux-kernel-asix_devices-c-null-pointer-dereference/

11. Eavesdropper：移動端數據泄漏漏洞

https://www.appthority.com/mobile-threat-center/blog/eavesdropper-mobile-vulnerability-exposing-millions-conversations/

https://info.appthority.com/hubfs/website-LEARN-content/Appthority%20Q4%2017%20MTR-Eavesdropper.pdf

12. WPA/WPA2漏洞分析

http://www.freebuf.com/articles/wireless/153323.html

http://www.freebuf.com/articles/wireless/153324.html

13. 應用afl-unicorn fuzz工具到多個平台的一些技巧

https://hackernoon.com/afl-unicorn-part-2-fuzzing-the-unfuzzable-bea8de3540a5

14. KERNEL Fuzzing in userspace：

https://x41-dsec.de/lab/blog/kernel_userspace/

15. Learn&Fuzz: Machine Learning for Input Fuzzing（paper）

https://arxiv.org/pdf/1701.07232.pdf

16. 微軟研究人員利用機器學習和深度神經網路發現軟體安全漏洞

https://www.microsoft.com/en-us/research/blog/neural-fuzzing/