Analysis of cifrat: could this be an evolution of a mobile RAT?
嗯,用户让我帮忙总结一下这篇文章的内容,控制在一百个字以内,而且不需要用“文章内容总结”或者“这篇文章”这样的开头,直接写描述。首先,我需要仔细阅读并理解这篇文章。
文章讲的是CERT Polska分析了一个安卓恶意软件样本,这个恶意软件伪装成Booking.com的基础设施进行传播。他们把这个恶意软件命名为cifrat,因为它具备远程控制功能(RAT),但无法明确归类到已知的家族中。
恶意软件的传播链是通过钓鱼邮件开始的,受害者点击链接后被重定向到一个伪造的Booking.com页面,然后下载一个恶意APK。这个APK其实是一个多阶段的释放器,会解包并安装后续的恶意软件。
具体来说,下载后的APK会加载一个本地库,解密并安装第二个APK,接着解密隐藏的有效载荷,最终部署一个基于无障碍功能的远程控制模块(RAT),通过WebSockets进行通信。
文章还详细描述了各个阶段的技术细节,包括JNI字符串解码、XOR解密、RC4-like解密等。最终的有效载荷具备屏幕流媒体、键盘记录、短信访问、摄像头捕获等多种功能,并连接到C2服务器otptrade.world进行控制和数据传输。
用户的需求是总结内容,并且限制在100字以内。我需要抓住关键点:恶意软件伪装成Booking.com应用,通过钓鱼传播,多阶段释放器,最终部署RAT模块,并具备多种恶意功能。
所以总结的时候要简洁明了地涵盖这些要点。
CERT Polska分析了一款伪装成Booking.com应用的安卓恶意软件cifrat。该恶意软件通过钓鱼邮件传播,诱导用户下载伪装的应用程序。下载后,程序作为多阶段释放器运行,最终部署了一个基于无障碍功能的远程控制模块(RAT),支持屏幕流媒体、键盘记录、短信访问和摄像头捕获等功能,并连接到C2服务器进行通信。