【WireLurker的提示】MacOS恶意APP捆绑方式猜测与实

发表评论
666 次浏览

A+

疯狗 (阅尽天下漏洞，心中自然无码。) | 2014-11-07 10:36

昨天因为WireLurker，导致MacHook以及国内几个第三方APP下载站火了，Mac下的黑色产业链也逐渐浮现在公众视线。其实我本人一直比较怀疑第三方APP下载站提供的APP安全性，是否有类似EXE捆绑方式寄生在破解APP上的恶意程序，是不是很高级很难实现的patch技术？这些都不得而知。

但昨天WireLurker被媒体曝光后，有人给出了一段自查脚本引起了我的注意，WireLurkerDetector 。

特别是其中这个函数
def is_app_infected(root): try: pl = plistlib.readPlist(os.path.join(root, 'Contents', 'Info.plist')) be = pl['CFBundleExecutable'] bundle_exec = os.path.join(root, 'Contents', 'MacOS', be) bundle_exec_ = bundle_exec + '_' if is_file_hidden(bundle_exec) and is_file_hidden(bundle_exec_): return True


        the_script = os.path.join(root, 'Contents', 'Resources', 'start.sh')
        print the_script
        the_pack = os.path.join(root, 'Contents', 'Resources', 'FontMap1.cfg')
        if is_file_hidden(the_script) and is_file_hidden(the_pack):
            return True
        return False

except Exception: return False
一般人会觉得这就是个检查文件隐藏属性的功能而已，但白帽子的直觉告诉我这正是WireLurker所使用的“寄生”技巧，关键的代码就在上半部分：
pl = plistlib.readPlist(os.path.join(root, 'Contents', 'Info.plist')) be = pl['CFBundleExecutable'] --> 获取执行文件名 bundle_exec = os.path.join(root, 'Contents', 'MacOS', be) bundle_exec_ = bundle_exec + '_' --> 检查带有下划线的文件名干嘛，莫非是有个恶意的loader？

Mac用户都知道，其实OS X下的APP就是一个特殊的文件夹，有个APP的后缀，目录结构大概是这样：
_CodeSignature, CodeResources -> APP数字签名，防篡改等 Info.plist -> APP初始初始信息 Frameworks -> 第三方的库程序 MacOS -> 可执行程序目录（就是“App”的本体程序，一个或多个） PkgInfo -> 创建者签名 Resources -> 程序资源目录
其中Info.plist里面的CFBundleExecutable键值记录了默认执行的程序名称，比如我本地一个小型16进制编辑软件（0xED）的就是

你说懂了，直接修改这里指向恶意程序就好了，其实也没那么容易，那样太明显了直接引起用户怀疑，如何实现既注入了恶意代码，又能正常运行程序呢？就是前面我提到的loader方式，执行完恶意程序后在启动正常的APP，天衣无缝。因为没有WireLurker的样本，只能黑箱重现，用Xcode简单做了个Demo。
#include <fstream> #include <iostream> #include <unistd.h>



using namespace std;
int main()
{
    char s[1024];
    char a[7] = "/0xED_";  //真正的Mac App实体
    getcwd(s, 1024);
    //std::cout << s;
    strcat(s,a);
    
    ofstream out("/tmp/Hacked.txt");
        out << s << endl;
    out.close();

//其实上面做了很多就是想自动获取当前APP目录，但最终居然是空值，所以。。。偷懒啦 system( "/Applications/0xED.app/Contents/MacOS/0xED_" ); return 0; }

没运行APP前
➜ /tmp $ ls -l /tmp/*.txt
zsh: no matches found: /tmp/*.txt

运行APP后，APP正确执行

进程图