iOS Malicious Bit Hunter

Zusammenfassung

iOS Malicious Bit Hunter ist eine Erkennungs-Engine für bösartige Plugins in iOS-Anwendungen. Sie kann den Header der MachO-Datei der injizierten dylib-Dynamikbibliothek zur Laufzeit analysieren und durch Eingabecharakteristiken der Schnittstelle eine Verhaltensanalyse durchführen, um das Verhalten der Dynamikbibliotheksfunktion zu bestimmen. Das Programm ist nicht auf eine Jailbreak-Umgebung angewiesen und kann im AppStore verwendet werden.

Neue Funktion

Dies ist eine neue Methode, um das Verhalten von bösartigem iOS-Code genau zu identifizieren. Basierend auf der Methode der Analyse von bösartigem Code, der im Speicher auf Basis des Mach-O-Formats in der App ausgeführt wird, kann sie flexible Verhaltenserkennung für Analyse und kontinuierliche Nachverfolgung durchführen. Dies ist eine sehr genaue Anti-Plugin-Verteidigungsmethode, einschließlich Verhalten, Variablen und stark verschleiertem Code (einschließlich ollvm), die in unserem Verteidigungsprozess sehr gute Ergebnisse erzielt hat.

Verwendung

1. Verwenden Sie XCode, um die .xcodeproj-Datei zu öffnen oder ein neues Static-Library-Projekt zu erstellen.
2. Build Phases -> Compile Sources, fügen Sie alle *.c / *.mm-Dateien hinzu.
3. Drücken Sie Befehl + B, um das Build auszuführen.

Der ios-malicious-bithunter hat nur eine API: secinfo * Security_CoreFoundation(void);

Aufrufbeispiel :

info = (secinfo *)malloc(sizeof(secinfo));

info->scan_result = (unsigned char * ) malloc(1024*1024);

memset(info->scan_result,0,1024*1024);

if(info == NULL)

{

    goto RETURN;

}
    
info->is_plugScan = security_scanEngine((unsigned char *)info->scan_result);

Logikprinzip

Das Tool bietet eine API-Schnittstelle zum Abrufen externer Match-Regeln. Es analysiert das Verhalten von gejailbreakten und neu verpackten dynamischen Bibliotheken zur Laufzeit, hauptsächlich durch statische Analyse des MachO-Dateiformats, über den Load Command und verschiedene Segmente, um die Importtabelle, Exporttabelle, Klassennamen, Funktionsnamen, Zeichenketten und andere Informationen zu erhalten, und beurteilt, ob die dynamische Bibliothek über die Speicherkarte zur Laufzeit in den Speicher geladen wurde.

Demo-Ergebnis

Wir haben unser SDK verwendet, um Zehntausende von Jailbreak-Dynamikbibliotheken zu analysieren. Diese Ressourcen stammen von einigen öffentlichen Jailbreak-Plugins. Nachfolgend sind unsere aktuellen Testergebnisse：

filename,rule

ALS.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_H

CallAssist.dylib,FAKEDEV_H

EGrimaceTweak.dylib,FAKEDEV_H

Lynx.dylib,FAKEDEV_H

NZT.dylib,FAKEDEV_H

SystemInfo.dylib,FAKEDEV_H

YOY.dylib,FAKEDEV_H

fakephonelib.dylib,FAKEDEV_H

fakid.dylib,FAKEDEV_H

nt.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_M

1feaks.dylib,FAKETOUCH

ATTweak.dylib,FAKETOUCH

BTC-Springboard.dylib,FAKETOUCH

Callofdutygarena.dylib,FAKETOUCH

Cercube.dylib,FAKETOUCH

EASimulateTower.dylib,FAKETOUCH

EPEventTweak.dylib,FAKETOUCH

EvilHunterTycoon.dylib,FAKETOUCH

FlyBirdRemoteControl.dylib,FAKETOUCH

GamePlayerUI.dylib,FAKETOUCH

HAWK.dylib,FAKETOUCH

HonkaiImpactTW.dylib,FAKETOUCH

HookedInc.dylib,FAKETOUCH

IdleFitnessGymTycoon.dylib,FAKETOUCH

JudeTaxi_jb.dylib,FAKETOUCH

LienQuanMobile.dylib,FAKETOUCH

P4UTweak.dylib,FAKETOUCH

PUBGMOBILEFREEiOSGodsCom.dylib,FAKETOUCH

ScarFalliOSGodsCom.dylib,FAKETOUCH

SimulateTouch.dylib,FAKETOUCH

TSEventTweak.dylib,FAKETOUCH

TSTweak.dylib,FAKETOUCH

WildRift.dylib,FAKETOUCH

bitcoinminer.dylib,FAKETOUCH

coin.dylib,FAKETOUCH

dls2019.dylib,FAKETOUCH

dq2.dylib,FAKETOUCH

dungeoncorp.dylib,FAKETOUCH

easimulatetower.thirdparty.2.dylib,FAKETOUCH

freefire.dylib,FAKETOUCH

gameisbugged.dylib,FAKETOUCH

hidspringboard.dylib,FAKETOUCH

mycafe.dylib,FAKETOUCH

raidthedungeon.dylib,FAKETOUCH

royaldice.dylib,FAKETOUCH

rushroyale.dylib,FAKETOUCH

tetweak.dylib,FAKETOUCH

tkasmtouch.dylib,FAKETOUCH

1.dylib,FAKE_LBS

AliDt.dylib,FAKE_LBS

CyDown.dylib,FAKE_LBS

DouTu.dylib,FAKE_LBS

GpsHookLibrary.dylib,FAKE_LBS

Lamo.dylib,FAKE_LBS

LamoClient.dylib,FAKE_LBS

OTRLocation.dylib,FAKE_LBS

WeChatHookPro.dylib,FAKE_LBS

abcd.dylib,FAKE_LBS

appstoreplusUI.dylib,FAKE_LBS

easimulatetower.client.dylib,FAKE_LBS

kfc.dylib,FAKE_LBS

lk.dylib,FAKE_LBS

m.dylib,FAKE_LBS

mmm.dylib,FAKE_LBS

pbyy.dylib,FAKE_LBS

phonetweak.dylib,FAKE_LBS

tou111.dylib,FAKE_LBS

txytweak.dylib,FAKE_LBS

xiaoqi.dylib,FAKE_LBS

xin.dylib,FAKE_LBS

zorro.dylib,FAKE_LBS

zzzzzLiberty.dylib,FAKE_LBS