iOS Malicious Bit Hunter

Résumé

iOS Malicious Bit Hunter est un moteur de détection de plug-ins malveillants pour les applications iOS. Il peut analyser l’en-tête du fichier macho de la bibliothèque dynamique dylib injectée en se basant sur l’exécution, et peut effectuer une analyse comportementale via les caractéristiques d’entrée de l’interface pour déterminer le comportement de la bibliothèque dynamique. Le programme ne dépend pas de l’environnement de jailbreak et peut être utilisé sur l’AppStore.

Nouveautés

Il s’agit d’une nouvelle méthode pour identifier avec précision le comportement du code malveillant iOS. Basée sur l’analyse du code malveillant en mémoire selon le format Mach-O dans l’application, elle permet une reconnaissance comportementale flexible pour l’analyse et le suivi continu. C’est une méthode de défense anti-plug-in très précise, incluant les comportements, les variables et le code fortement obscurci (y compris ollvm), qui a donné de très bons résultats dans notre processus de défense.

Comment utiliser

Ouvrir le fichier .xcodeproj avec XCode ou créer un nouveau projet de bibliothèque statique.
Build Phases -> Compile Sources, ajouter tous les fichiers *.c / *.mm.
Commande + B pour compiler.

L’ios-malicious-bithunter ne possède qu’une seule API : secinfo * Security_CoreFoundation(void);

Exemple d’appel :

info = (secinfo *)malloc(sizeof(secinfo));

info->scan_result = (unsigned char * ) malloc(1024*1024);

memset(info->scan_result,0,1024*1024);

if(info == NULL)

{

    goto RETURN;

}
    
info->is_plugScan = security_scanEngine((unsigned char *)info->scan_result);

Principe logique

L’outil fournit une interface API pour obtenir des règles de correspondance externes. Il analyse le comportement des bibliothèques dynamiques jailbreakées et réemballées au moment de l’exécution, principalement par analyse statique du format de fichier MachO, via la commande Load et différents segments, pour obtenir la table d’importation, la table d’exportation, les noms de classes, les noms de fonctions, les chaînes et autres informations, et détermine si la bibliothèque dynamique a été chargée en mémoire grâce à la cartographie mémoire au moment de l’exécution.

Principe logique

Résultat de détection (démo)

Nous avons utilisé notre SDK pour analyser des dizaines de milliers de bibliothèques dynamiques de jailbreak. Ces ressources proviennent de certains plug-ins de jailbreak publics. Voici nos résultats de test actuels :

filename,rule

ALS.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_H

CallAssist.dylib,FAKEDEV_H

EGrimaceTweak.dylib,FAKEDEV_H

Lynx.dylib,FAKEDEV_H

NZT.dylib,FAKEDEV_H

SystemInfo.dylib,FAKEDEV_H

YOY.dylib,FAKEDEV_H

fakephonelib.dylib,FAKEDEV_H

fakid.dylib,FAKEDEV_H

nt.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_M

1feaks.dylib,FAKETOUCH

ATTweak.dylib,FAKETOUCH

BTC-Springboard.dylib,FAKETOUCH

Callofdutygarena.dylib,FAKETOUCH

Cercube.dylib,FAKETOUCH

EASimulateTower.dylib,FAKETOUCH

EPEventTweak.dylib,FAKETOUCH

EvilHunterTycoon.dylib,FAKETOUCH

FlyBirdRemoteControl.dylib,FAKETOUCH

GamePlayerUI.dylib,FAKETOUCH

HAWK.dylib,FAKETOUCH

HonkaiImpactTW.dylib,FAKETOUCH

HookedInc.dylib,FAKETOUCH

IdleFitnessGymTycoon.dylib,FAKETOUCH

JudeTaxi_jb.dylib,FAKETOUCH

LienQuanMobile.dylib,FAKETOUCH

P4UTweak.dylib,FAKETOUCH

PUBGMOBILEFREEiOSGodsCom.dylib,FAKETOUCH

ScarFalliOSGodsCom.dylib,FAKETOUCH

SimulateTouch.dylib,FAKETOUCH

TSEventTweak.dylib,FAKETOUCH

TSTweak.dylib,FAKETOUCH

WildRift.dylib,FAKETOUCH

bitcoinminer.dylib,FAKETOUCH

coin.dylib,FAKETOUCH

dls2019.dylib,FAKETOUCH

dq2.dylib,FAKETOUCH

dungeoncorp.dylib,FAKETOUCH

easimulatetower.thirdparty.2.dylib,FAKETOUCH

freefire.dylib,FAKETOUCH

gameisbugged.dylib,FAKETOUCH

hidspringboard.dylib,FAKETOUCH

mycafe.dylib,FAKETOUCH

raidthedungeon.dylib,FAKETOUCH

royaldice.dylib,FAKETOUCH

rushroyale.dylib,FAKETOUCH

tetweak.dylib,FAKETOUCH

tkasmtouch.dylib,FAKETOUCH

1.dylib,FAKE_LBS

AliDt.dylib,FAKE_LBS

CyDown.dylib,FAKE_LBS

DouTu.dylib,FAKE_LBS

GpsHookLibrary.dylib,FAKE_LBS

Lamo.dylib,FAKE_LBS

LamoClient.dylib,FAKE_LBS

OTRLocation.dylib,FAKE_LBS

WeChatHookPro.dylib,FAKE_LBS

abcd.dylib,FAKE_LBS

appstoreplusUI.dylib,FAKE_LBS

easimulatetower.client.dylib,FAKE_LBS

kfc.dylib,FAKE_LBS

lk.dylib,FAKE_LBS

m.dylib,FAKE_LBS

mmm.dylib,FAKE_LBS

pbyy.dylib,FAKE_LBS

phonetweak.dylib,FAKE_LBS

tou111.dylib,FAKE_LBS

txytweak.dylib,FAKE_LBS

xiaoqi.dylib,FAKE_LBS

xin.dylib,FAKE_LBS

zorro.dylib,FAKE_LBS

zzzzzLiberty.dylib,FAKE_LBS

ios-malicious-bithunter

Populaires

À propos