صائد البتات الخبيثة لنظام iOS

الملخص

iOS Malicious Bit Hunter هو محرك كشف عن الإضافات الخبيثة لتطبيقات iOS. يمكنه تحليل رأس ملف macho للمكتبة الديناميكية dylib المحقونة استنادًا إلى وقت التشغيل، ويمكنه إجراء تحليل السلوك من خلال خصائص إدخال الواجهة لتحديد سلوك ميزة المكتبة الديناميكية. لا يعتمد البرنامج على بيئة الجيلبريك ويمكن استخدامه على متجر التطبيقات.

الميزة الجديدة

هذه طريقة جديدة لتحديد سلوك الكود الخبيث لنظام iOS بدقة. استنادًا إلى طريقة تحليل الكود الخبيث الذي يعمل في الذاكرة بناءً على تنسيق Mach-O في التطبيق، يمكنها إجراء التعرف المرن على السلوك للتحليل والتتبع المستمر. هذه طريقة دفاعية دقيقة جدًا ضد الإضافات، بما في ذلك السلوكيات والمتغيرات والكود شديد التعتيم (بما في ذلك ollvm)، وقد حققت نتائج جيدة جدًا في عملية دفاعنا.

كيفية الاستخدام

1. استخدم XCode لفتح ملف .xcodeproj أو إنشاء مشروع مكتبة ثابتة جديد.
2. في Build Phases -> Compile Sources، أضف جميع ملفات *.c / *.mm.
3. اضغط command + B للبناء.

لدى ios-malicious-bithunter واجهة برمجة تطبيقات واحدة فقط: secinfo * Security_CoreFoundation(void);

مثال الاستدعاء:

info = (secinfo *)malloc(sizeof(secinfo));

info->scan_result = (unsigned char * ) malloc(1024*1024);

memset(info->scan_result,0,1024*1024);

if(info == NULL)

{

    goto RETURN;

}
    
info->is_plugScan = security_scanEngine((unsigned char *)info->scan_result);

المبدأ المنطقي

توفر الأداة واجهة API للحصول على قواعد المطابقة الخارجية. ستقوم بتحليل سلوك المكتبات الديناميكية التي تم جيلبريكها وإعادة تجميعها في وقت التشغيل، بشكل أساسي من خلال التحليل الثابت لتنسيق ملف MachO، عبر Load Command والأجزاء المختلفة. الحصول على جدول الاستيراد، جدول التصدير، اسم الفئة، اسم الدالة، السلسلة النصية وغيرها من المعلومات، والحكم على ما إذا تم تحميل المكتبة الديناميكية في الذاكرة عبر خريطة الذاكرة في وقت التشغيل.

نتيجة الكشف التجريبي

لقد استخدمنا SDK الخاص بنا لتحليل عشرات الآلاف من المكتبات الديناميكية للجيلبريك. تأتي هذه الموارد من بعض إضافات الجيلبريك العامة. فيما يلي نتائج اختبارنا الحالية:

اسم الملف,القاعدة

ALS.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_H

CallAssist.dylib,FAKEDEV_H

EGrimaceTweak.dylib,FAKEDEV_H

Lynx.dylib,FAKEDEV_H

NZT.dylib,FAKEDEV_H

SystemInfo.dylib,FAKEDEV_H

YOY.dylib,FAKEDEV_H

fakephonelib.dylib,FAKEDEV_H

fakid.dylib,FAKEDEV_H

nt.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_M

1feaks.dylib,FAKETOUCH

ATTweak.dylib,FAKETOUCH

BTC-Springboard.dylib,FAKETOUCH

Callofdutygarena.dylib,FAKETOUCH

Cercube.dylib,FAKETOUCH

EASimulateTower.dylib,FAKETOUCH

EPEventTweak.dylib,FAKETOUCH

EvilHunterTycoon.dylib,FAKETOUCH

FlyBirdRemoteControl.dylib,FAKETOUCH

GamePlayerUI.dylib,FAKETOUCH

HAWK.dylib,FAKETOUCH

HonkaiImpactTW.dylib,FAKETOUCH

HookedInc.dylib,FAKETOUCH

IdleFitnessGymTycoon.dylib,FAKETOUCH

JudeTaxi_jb.dylib,FAKETOUCH

LienQuanMobile.dylib,FAKETOUCH

P4UTweak.dylib,FAKETOUCH

PUBGMOBILEFREEiOSGodsCom.dylib,FAKETOUCH

ScarFalliOSGodsCom.dylib,FAKETOUCH

SimulateTouch.dylib,FAKETOUCH

TSEventTweak.dylib,FAKETOUCH

TSTweak.dylib,FAKETOUCH

WildRift.dylib,FAKETOUCH

bitcoinminer.dylib,FAKETOUCH

coin.dylib,FAKETOUCH

dls2019.dylib,FAKETOUCH

dq2.dylib,FAKETOUCH

dungeoncorp.dylib,FAKETOUCH

easimulatetower.thirdparty.2.dylib,FAKETOUCH

freefire.dylib,FAKETOUCH

gameisbugged.dylib,FAKETOUCH

hidspringboard.dylib,FAKETOUCH

mycafe.dylib,FAKETOUCH

raidthedungeon.dylib,FAKETOUCH

royaldice.dylib,FAKETOUCH

rushroyale.dylib,FAKETOUCH

tetweak.dylib,FAKETOUCH

tkasmtouch.dylib,FAKETOUCH

1.dylib,FAKE_LBS

AliDt.dylib,FAKE_LBS

CyDown.dylib,FAKE_LBS

DouTu.dylib,FAKE_LBS

GpsHookLibrary.dylib,FAKE_LBS

Lamo.dylib,FAKE_LBS

LamoClient.dylib,FAKE_LBS

OTRLocation.dylib,FAKE_LBS

WeChatHookPro.dylib,FAKE_LBS

abcd.dylib,FAKE_LBS

appstoreplusUI.dylib,FAKE_LBS

easimulatetower.client.dylib,FAKE_LBS

kfc.dylib,FAKE_LBS

lk.dylib,FAKE_LBS

m.dylib,FAKE_LBS

mmm.dylib,FAKE_LBS

pbyy.dylib,FAKE_LBS

phonetweak.dylib,FAKE_LBS

tou111.dylib,FAKE_LBS

txytweak.dylib,FAKE_LBS

xiaoqi.dylib,FAKE_LBS

xin.dylib,FAKE_LBS

zorro.dylib,FAKE_LBS

zzzzzLiberty.dylib,FAKE_LBS