2014SyScan360——Android平台Bootkit高级攻击技术

原创
安全
在本届SyScan360国际前瞻信息安全会议上,来自360公司陈章琪和申迪为大家带来Andriod平台Bootkit高级攻击技术。

2013年末,第一款安卓平台Bootkit,Oldboot的出现,给安全厂商带来了不少挑战。在本届SyScan360国际前瞻信息安全会议上,来自360公司陈章琪和申迪为大家带来Andriod平台Bootkit高级攻击技术。据申迪介绍,恶意文件全部存储于ramdisk当中,它需要root权限,无法借助文件系统直接删除。第二,挑战感染init.rc优先起动,它早于杀毒软件启动。第三,它注入system_server,没有APK程序。因为Oldboot没有做过任何的自我隐藏,它很好检测,但难以清除。

[[116387]]

360公司申迪

[[116388]]

360公司陈章琪

可以预见,Android平台恶意程序采用更早启动、更强的自我保护技术将成为一种趋势。对此,申迪认为安卓平台木马将有以下一系列变化:

◆模块不再仅仅局限于Apk格式

◆反逆向工程

◆利用手机预装或者内核漏洞获取root权限

◆试图更早启动

◆更强的自我保护机制

◆更为隐蔽

面对如此严峻的形式,他表示:“我们希望做出比Oldboot更进一步的东西,一个是我们希望动态感染Boot分区,无需预装到rom中。利用LKM系统加载内核模块,这是linux系统提供的加载模块的内容。在内核当中完成自己的隐藏和保护。”

此外,陈章琪还介绍一套强兼容性的内核模块加载技术,开发内核模块并非易事,拿不到设备源代码、内核对模块的检查以及内核版本差别都让开发内核模块十分困难。然而,采用绕过内核检查等手段,并通过隐藏bootkit踪迹、驱动模块以及被感染的部分可以让编译出来的内核模块正常运行。

最后,申迪通过视频展示了内核模块加载的视频,引起了与会者的极大兴趣,并就bootkit攻击技术、防御隐藏技术等问题和与会者进行了讨论。

[[116389]]

视频演示截图1

视频演示截图2

视频演示截图2

 

 

责任编辑:蓝雨泪 来源: 51CTO.com
相关推荐

2014-07-16 16:14:13

2014-07-16 10:42:35

2014-07-17 15:16:18

2014-07-17 11:33:47

2014-07-16 12:03:34

2014-07-17 10:11:40

反汇编引擎CapstoneSyScan360

2014-07-17 15:43:35

2014-07-17 11:54:37

2014-07-16 14:24:07

2014-07-18 09:18:58

2014-07-17 21:22:39

2014-06-20 15:02:46

2014-07-16 12:06:26

SyScan360

2014-07-16 09:45:58

2014-07-16 18:47:05

2014-07-16 18:22:43

2014-07-16 16:18:27

2014-07-03 10:29:17

2015-10-16 10:16:19

2012-12-14 16:20:14

点赞
收藏

51CTO技术栈公众号