2014SyScan360——Android平台Bootkit高级攻击技术

  2013年末,第一款安卓平台Bootkit,Oldboot的出现,给安全厂商带来了不少挑战。在本届SyScan360国际前瞻信息安全会议上,来自360公司陈章琪和申迪为大家带来Andriod平台Bootkit高级攻击技术。据申迪介绍,恶意文件全部存储于ramdisk当中,它需要root权限,无法借助文件系统直接删除。第二,挑战感染init.rc优先起动,它早于杀毒软件启动。第三,它注入system_server,没有APK程序。因为Oldboot没有做过任何的自我隐藏,它很好检测,但难以清除。

  可以预见,Android平台恶意程序采用更早启动、更强的自我保护技术将成为一种趋势。对此,申迪认为安卓平台木马将有以下一系列变化:

  模块不再仅仅局限于Apk格式

  反逆向工程

  利用手机预装或者内核漏洞获取root权限

  试图更早启动

  更强的自我保护机制

  更为隐蔽

  面对如此严峻的形式,他表示:“我们希望做出比Oldboot更进一步的东西,一个是我们希望动态感染Boot分区,无需预装到rom中。利用LKM系统加载内核模块,这是linux系统提供的加载模块的内容。在内核当中完成自己的隐藏和保护。”

  此外,陈章琪还介绍一套强兼容性的内核模块加载技术,开发内核模块并非易事,拿不到设备源代码、内核对模块的检查以及内核版本差别都让开发内核模块十分困难。然而,采用绕过内核检查等手段,并通过隐藏bootkit踪迹、驱动模块以及被感染的部分可以让编译出来的内核模块正常运行。

  最后,申迪通过视频展示了内核模块加载的视频,引起了与会者的极大兴趣,并就bootkit攻击技术、防御隐藏技术等问题和与会者进行了讨论。

 

发表评论

邮箱地址不会被公开。 必填项已用*标注