alipay/ios-malicious-bithunter
iOS Malicious Bit Hunter è un motore di rilevamento di plug-in dannosi per applicazioni iOS. Può analizzare l'intestazione del file macho della libreria dinamica dylib iniettata basandosi sul runtime. Se sei interessato ad altri programmi dell'autore, visita https://github.com/SecurityLife
iOS Malicious Bit Hunter è un motore di rilevamento di plug-in maligni per applicazioni iOS. Può analizzare l'intestazione del file macho della libreria dinamica dylib iniettata basandosi sul runtime, e può eseguire analisi del comportamento attraverso le caratteristiche di input dell'interfaccia per determinare le caratteristiche comportamentali della libreria dinamica. Il programma non dipende dall'ambiente di jailbreak e può essere utilizzato sull'AppStore.
Questo è un nuovo modo per identificare con precisione il comportamento del codice maligno iOS. Basato sul metodo di analisi del codice maligno in esecuzione in memoria basato sul formato Mach-O nell'App, può eseguire un riconoscimento flessibile del comportamento per l'analisi e il tracciamento continuo. Questo è un metodo di difesa anti-plug-in molto accurato, che include comportamenti, variabili e codice altamente offuscato (incluso ollvm), che ha ottenuto ottimi risultati nel nostro processo di difesa.
ios-malicious-bithunter ha solo un'API: secinfo * Security_CoreFoundation(void);
Esempio di invocazione:
info = (secinfo *)malloc(sizeof(secinfo));
info->scan_result = (unsigned char * ) malloc(1024*1024);
memset(info->scan_result,0,1024*1024);
if(info == NULL)
{
goto RETURN;
}
info->is_plugScan = security_scanEngine((unsigned char *)info->scan_result);
Lo strumento fornisce un'interfaccia API per ottenere regole di corrispondenza esterne. Analizzerà il comportamento delle librerie dinamiche jailbroken e ricompattate in fase di esecuzione, principalmente attraverso l'analisi statica del formato del file MachO, attraverso il Load Command e diversi segmenti per ottenere la tabella delle importazioni, la tabella delle esportazioni, i nomi delle classi, i nomi delle funzioni, le stringhe e altre informazioni, e giudicherà se la libreria dinamica è stata caricata in memoria attraverso la mappa di memoria in fase di esecuzione.
Abbiamo usato il nostro SDK per analizzare decine di migliaia di librerie dinamiche di jailbreak. Queste risorse provengono da alcuni plugin di jailbreak pubblici. Di seguito sono riportati i nostri risultati attuali dei test:
filename,rule
ALS.dylib,FAKEDEV_H
AWZ.dylib,FAKEDEV_H
CallAssist.dylib,FAKEDEV_H
EGrimaceTweak.dylib,FAKEDEV_H
Lynx.dylib,FAKEDEV_H
NZT.dylib,FAKEDEV_H
SystemInfo.dylib,FAKEDEV_H
YOY.dylib,FAKEDEV_H
fakephonelib.dylib,FAKEDEV_H
fakid.dylib,FAKEDEV_H
nt.dylib,FAKEDEV_H
AWZ.dylib,FAKEDEV_M
1feaks.dylib,FAKETOUCH
ATTweak.dylib,FAKETOUCH
BTC-Springboard.dylib,FAKETOUCH
Callofdutygarena.dylib,FAKETOUCH
Cercube.dylib,FAKETOUCH
EASimulateTower.dylib,FAKETOUCH
EPEventTweak.dylib,FAKETOUCH
EvilHunterTycoon.dylib,FAKETOUCH
FlyBirdRemoteControl.dylib,FAKETOUCH
GamePlayerUI.dylib,FAKETOUCH
HAWK.dylib,FAKETOUCH
HonkaiImpactTW.dylib,FAKETOUCH
HookedInc.dylib,FAKETOUCH
IdleFitnessGymTycoon.dylib,FAKETOUCH
JudeTaxi_jb.dylib,FAKETOUCH
LienQuanMobile.dylib,FAKETOUCH
P4UTweak.dylib,FAKETOUCH
PUBGMOBILEFREEiOSGodsCom.dylib,FAKETOUCH
ScarFalliOSGodsCom.dylib,FAKETOUCH
SimulateTouch.dylib,FAKETOUCH
TSEventTweak.dylib,FAKETOUCH
TSTweak.dylib,FAKETOUCH
WildRift.dylib,FAKETOUCH
bitcoinminer.dylib,FAKETOUCH
coin.dylib,FAKETOUCH
dls2019.dylib,FAKETOUCH
dq2.dylib,FAKETOUCH
dungeoncorp.dylib,FAKETOUCH
easimulatetower.thirdparty.2.dylib,FAKETOUCH
freefire.dylib,FAKETOUCH
gameisbugged.dylib,FAKETOUCH
hidspringboard.dylib,FAKETOUCH
mycafe.dylib,FAKETOUCH
raidthedungeon.dylib,FAKETOUCH
royaldice.dylib,FAKETOUCH
rushroyale.dylib,FAKETOUCH
tetweak.dylib,FAKETOUCH
tkasmtouch.dylib,FAKETOUCH
1.dylib,FAKE_LBS
AliDt.dylib,FAKE_LBS
CyDown.dylib,FAKE_LBS
DouTu.dylib,FAKE_LBS
GpsHookLibrary.dylib,FAKE_LBS
Lamo.dylib,FAKE_LBS
LamoClient.dylib,FAKE_LBS
OTRLocation.dylib,FAKE_LBS
WeChatHookPro.dylib,FAKE_LBS
abcd.dylib,FAKE_LBS
appstoreplusUI.dylib,FAKE_LBS
easimulatetower.client.dylib,FAKE_LBS
kfc.dylib,FAKE_LBS
lk.dylib,FAKE_LBS
m.dylib,FAKE_LBS
mmm.dylib,FAKE_LBS
pbyy.dylib,FAKE_LBS
phonetweak.dylib,FAKE_LBS
tou111.dylib,FAKE_LBS
txytweak.dylib,FAKE_LBS
xiaoqi.dylib,FAKE_LBS
xin.dylib,FAKE_LBS
zorro.dylib,FAKE_LBS
zzzzzLiberty.dylib,FAKE_LBS