0 SpyNote Android Trojan Builder Leaked

Selamat Pagi kawan apa kabar? Pasti sehat semua ya , Oke langsung Saja ga usah banyak Banyak Basa basi lagi .. Kali ini gue akan share software hacking yg satu ini oke langsung saja di simak baik  baik  tutorial nya :)



Trojan Android baru yang disebut SpyNote yang memfasilitasi mata-mata jarak jauh. Pembangun, yang menciptakan versi baru dari malware, baru-baru ini membocorkan beberapa forum diskusi malware. SpyNote mirip dengan OmniRat dan DroidJack, yaitu RAT (alat administrasi jarak jauh) yang memungkinkan pemilik perangkat lunak berbahaya mendapatkan kontrol administratif dari perangkat Android. Seperti RAT lainnya ini, SpyNote memiliki seperangkat fitur besar termasuk yang berikut ini: Tidak diperlukan akses root Pasang APK baru dan perbarui malware Salin file dari perangkat ke komputer Lihat semua pesan di perangkat Dengarkan panggilan yang dilakukan pada perangkat Cantumkan semua kontak pada perangkat Dengarkan langsung atau rekam audio dari mikrofon perangkat Dapatkan kontrol kamera pada perangkat Dapatkan nomor IMEI, alamat MAC Wi-Fi, dan rincian operator seluler Dapatkan lokasi GPS terakhir dari perangkat Lakukan panggilan pada perangkat

Gambar 1: SpyNote Control Panel

APK SpyNote mewajibkan korban untuk menerima dan memberi banyak izin kepada SpyNote, termasuk kemampuan untuk mengedit pesan teks, membaca log panggilan dan kontak, atau memodifikasi atau menghapus isi kartu SD. Kami telah menemukan bahwa sampel SpyNote telah diunggah ke situs analisis malware VirusTotal dan Koodous.


Analisis

Saat pemasangan, SpyNote akan menghapus ikon aplikasi dari perangkat korban. Juga jelas bahwa aplikasi builder SpyNote dikembangkan di .NET

Aplikasi ini tidak dikaburkan atau dilindungi dengan Obfuscator atau Protector manapun.

Gambar 2: Pembuat SpyNote yang Direproduksi

Pengunggah mungkin mengikuti petunjuk yang dijelaskan di video YouTube tentang penggunaan SpyNote, mengingat nomor port yang digunakan sama persis dengan video Disini dan hanya perubahan pengunggah ikon file APK.

Selanjutnya, RAT ini telah dikonfigurasi untuk berkomunikasi dengan alamat IP perintah dan kontrol (C & C) (141.255.147.193) melalui port TCP 2222 seperti yang ditunjukkan pada gambar di bawah ini.

Gambar 3 - tampilan bytecode Dalvik menggunakan profiler Cerbero

Gambar 4 - SpyNote membuka koneksi soket

Berdasarkan informasi yang telah kami temukan, sekarang kami tahu bahwa perangkat lunak perusak menggunakan nilai SERVER_IP dan SERVER_PORT yang sulit dikodekan (Gambar 4) untuk koneksi soket ini. Sekarang kita bisa membuat extractor untuk informasi C2 menggunakan Androguard Disini seperti yang ditunjukkan di bawah ini. Script spynote.C2.py (ditunjukkan di bawah) mem-parsing nilai-nilai ini dari file APK dan mencetaknya ke baris perintah (Gambar 5).

Gambar 5 - Informasi C2 yang diekstrak

<div style="text-align: left;"> <br /> #!/usr/bin/python<br /> import sys<br /> from sys import argv<br /> from androguard.core.bytecodes import apk<br /> from androguard.core.bytecodes import dvm<br /> <br /> #---------------------------------------------------<br /> # _log : Prints out logs for debug purposes<br /> #---------------------------------------------------<br /> def _log(s):<br />     print(s)<br /> <br /> if __name__ == "__main__":<br />     if (len(sys.argv) < 2):<br />         _log("[+] Usage: %s [Path_to_apk]" % sys.argv[0])<br />         sys.exit(0)<br />     else:<br />         a = apk.APK(argv[1])<br />         d = dvm.DalvikVMFormat(a.get_dex())<br />         for cls in d.get_classes():<br />             #if 'Ldell/scream/application/MainActivity;'.lower() in cls.get_name().lower():<br />             if 'dell/scream/application/MainActivity;'.lower() in cls.get_name().lower():<br />                 c2 = ""<br />                 port = ""<br />                 string = None<br />                 for method in cls.get_methods():<br />                     if method.name == '<init>':<br />                         for inst in method.get_instructions():<br />                             if inst.get_name() == 'const-string':<br />                                 string = inst.get_output().split(',')[-1].strip(" '")<br />                             if inst.get_name() == 'iput-object':<br />                                 if "SERVER_IP" in inst.get_output():<br />                                     c2 = string<br />                                 if "PORT" in inst.get_output():<br />                                     port = string<br />                             if c2 and port:<br />                                 break<br />                 server = ""<br />                 if port:<br />                     server = "{0}:{1}".format(c2, str(port))<br />                 else:<br />                     server = c2<br />                 _log('C&C: [ %s ]' % server)<br /> <br /></div> </div> </div> </div> </div> </div> </div> </div> </div> </div>

+=|Download|=+

Menginstal aplikasi dari sumber pihak ketiga bisa sangat berisiko - sumber tersebut sering kali kekurangan tata cara yang disediakan oleh sumber resmi seperti Google Play Store, yang, walaupun dengan prosedur dan algoritme terperinci untuk menyingkirkan aplikasi berbahaya, tidak dapat ditembus. Aplikasi pemuatan sisi dari sumber yang dapat dipertanyakan memaparkan pengguna dan perangkat seluler mereka ke berbagai perangkat lunak perusak dan kemungkinan kehilangan data.

Sejauh ini kami belum melihat SpyNote yang digunakan dalam serangan aktif namun kami menduga penjahat cyber akan mulai menggunakannya karena pembangunan SpyNote tersedia secara gratis. Pengguna AutoFocus Palo Alto Networks dapat mengidentifikasi RAT ini menggunakan tag SpyNote.

Sekian Terimah kasih selemat  Mencoba :)