近日,软件研究人员发现安卓平台上冒充 ChatGPT 的开始恶意软件激增。随着 OpenAI 研发的涌现 GPT 3.5 与 GPT 4.0 的发布,全世界越来越多的题相人对其感兴趣并想要尝试。本文对两种较为活跃的安卓恶意软件进行了深入分析:一种是伪装成 SuperGPT 的 Meterpreter 木马、另一种则是恶意伪装成 ChatGPT 的恶意扣费应用程序。
尽管 Google Play 的软件的安卓平台的官方应用商店,但用户也可以通过网站或者电子邮件等其他来源安装应用程序,开始用户是涌现能够获得未经 Google 安全审查的应用程序的。
OpenAI 创建了一个名为 Chat Generative Pre-trained Transformer(简称 ChatGPT)的题相应用程序,该程序由大模型(LLM)驱动,安卓目前已经开发到第四个版本。恶意ChatGPT 于 2022 年 11 月 30 首次公开发布,由于其非凡的交互问答能力,迅速引起了世人的注意。尽管 ChatGPT 的回答并不一定准确,但在前期用户为了使用仍然排了大长队。
如此流行的社会风潮,也被攻击者盯上了。就像之前攻击者利用 COVID-19 在全世界范围内的大流行,来传播那些打着“健康与保健”旗号的恶意程序。过去已经发现了与 ChatGPT 话题相关的恶意软件,攻击者并未放弃而是越发关注。
名为 SuperGPT - AI with GPT-4 的恶意程序,将自身描述为是由 GPT-4 驱动的 AI 助手。SuperGPT 不仅能够帮助用户撰写电子邮件、编写文章,还能够进行语音识别与跨语言翻译。
该恶意软件的 MainActivity 类中包含一个引用 ChatGPT 官方 URL 地址的字符串变量。名为 v3.v 是一个自定义 WebViewClient 实现,主要实现了两个重定向规则:
image.png-22.1kB
应用程序图标
image.png-75.9kB
应用程序截图
根据 VirusTotal 的信息,该样本最早在 2023 年 3 月 16 日 02:06:04 在尼加拉瓜提交的,文件名为 2021id.apk。
比较恶意应用程序与合法应用程序之间的差异,很明显可以发现恶意代码为以下 Smali 代码的部分:
image.png-47.6kB
新增恶意 Smail 代码
Rapid 7 发布了最早基于 Java 的安卓平台 Meterpreter Stager 的源代码。通过 MainService 类调用 Payload 类的 start 方法实现恶意功能,而 MainService 类可以:
该恶意代码主要执行如下操作:
image.png-172.8kB
配置字节数组
对 SuperGPT 这个特定的样本来说,以下操作会触发 Meterpreter:
该样本中的 C&C 服务器为 tcp://Gwdidkfkf-47070.portmap[.]io:47070,而 portmap.io 是一个提供免费端口转发的服务。
签发该样本的数字签名证书是属于攻击者的,特征如下所示:
在 VirusTotal 上查询,与该证书相关的其余一百多个样本文件都是恶意的:
image.png-134.6kB
相关的样本文件
另一组恶意应用程序则是通过与 ChatGPT 描述相关的网页进行分发:
image.png-596.9kB
钓鱼网页
这些恶意应用程序都会以 OpenAI 的图标作为应用程序的图标,还会使用与 ChatGPT 相关的虚假描述信息,非常具有迷惑性。
image.png-153.4kB
OpenAI 图标
这些恶意应用程序会向泰国的付费号码发送短信,以进行恶意高额扣费。具体实现依靠发送短信的安卓权限 android.permission.SEND_SMS,并且对泰国进行了限定。恶意应用程序还使用了OneSignal,这是帮助应用程序通过推送通知发送消息的服务。
例如应用程序通过 hxxps[://]api[.]onesignal[.]com/apps/af63b434-ec50-46a0-9374-d57a383f2e03/android_params[.]js 获取的配置信息如下所示。其中,android_sender_id 字段被硬编码为 +661-9406-4544。
{ "awl_list": { },"android_sender_id": "660194064544","chnl_lst": [],"outcomes": { "direct": { "enabled": false},"indirect": { "notification_attribution": { "minutes_since_displayed": 60,"limit": 10},"enabled": false},"unattributed": { "enabled": false}},"receive_receipts_enable": false}
这些样本文件使用通用证书进行签名,典型属性如下所示:
样本大概分为两批:第一批样本向一个硬编码的泰国付费号码发送短信,并使用 OneSignal 服务;第二批样本向另外两个硬编码的泰国付费号码发送短信,并且不再使用 OneSignal 获取配置信息。第一批样本大约在 2023 年 2 月被使用,第二批样本大约在 2023 年 3 月被使用。
image.png-72.2kB
第一批样本的静态信息汇总
image.png-71.1kB
第二批样本的静态信息汇总
ChatGPT 相关主体的恶意应用程序对移动设备的安全与隐私带来了极大的挑战与威胁,攻击者可能会窃取敏感信息、监视用户活动并且给受害者带来巨大的经济损失。
责任编辑:赵宁宁 来源: FreeBuf.COM 恶意软件木马(责任编辑:焦点)
6000元价位投影仪终极PK,灯泡/LED/激光,谁是最优选择?
【横评】年中竖折叠手机对比 moto三星华为OPPOvivo谁更值得推荐?
73 dead after fire engulfs building in South Africa
真我徐起:突破4000元以上价位段 未来五年覆盖全球百大市场