iOS 悪意のあるビットハンター

概要

iOS Malicious Bit Hunter は、iOS アプリケーション向けの悪意のあるプラグイン検出エンジンです。ランタイムに基づいて注入された dylib 動的ライブラリの macho ファイルのヘッダーを分析し、インターフェース入力特性を通じて動作分析を行い、動的ライブラリの振る舞いを特定できます。このプログラムは脱獄環境に依存せず、AppStore で使用できます。

新機能

これは、iOS 悪意のあるコードの動作を正確に特定する新しい方法です。アプリ内の Mach-O 形式に基づいてメモリ内で実行される悪意のあるコードを分析する方法により、柔軟な動作認識、分析、および継続的な追跡を実行できます。これは、動作、変数、高度に難読化されたコード（ollvm を含む）を含む、非常に正確なアンチプラグイン防御手法であり、当社の防御プロセスで非常に優れた結果を達成しています。

使用方法

XCode を使用して .xcodeproj ファイルを開くか、新しい静的ライブラリプロジェクトを作成します。
Build Phases -> Compile Sources で、すべての *.c / *.mm ファイルを追加します。
command + B でビルドします。

ios-malicious-bithunter は API を1つだけ持っています： secinfo * Security_CoreFoundation(void);

呼び出し例：

info = (secinfo *)malloc(sizeof(secinfo));

info->scan_result = (unsigned char * ) malloc(1024*1024);

memset(info->scan_result,0,1024*1024);

if(info == NULL)

{

    goto RETURN;

}
    
info->is_plugScan = security_scanEngine((unsigned char *)info->scan_result);

論理原理

このツールは、外部マッチルールを取得するための API インターフェースを提供します。ランタイム時に脱獄や再パッケージ化された動的ライブラリの動作を分析します。主に MachO ファイル形式の静的解析を通じて、Load Command や異なるセグメントからインポートテーブル、エクスポートテーブル、クラス名、関数名、文字列などの情報を取得し、ランタイム時のメモリマップを通じて動的ライブラリがメモリにロードされているかどうかを判断します。

ios-malicious-bithunter

人気

検出デモ結果