iOS 악성 비트 헌터

개요

iOS 악성 비트 헌터는 iOS 애플리케이션을 위한 악성 플러그인 탐지 엔진입니다. 런타임에 주입된 dylib 동적 라이브러리의 macho 파일 헤더를 분석할 수 있으며, 인터페이스 입력 특성을 통해 행동 분석을 수행하여 동적 라이브러리 특징의 동작을 판단합니다. 이 프로그램은 탈옥 환경에 의존하지 않으며 AppStore에서 사용할 수 있습니다.

새로운 기능

이는 iOS 악성 코드의 동작을 정확하게 식별하는 새로운 방법입니다. 앱 내 Mach-O 형식을 기반으로 메모리에서 실행 중인 악성 코드를 분석하는 방법을 기반으로 하며, 유연한 행동 인식을 통해 분석 및 지속적인 추적을 수행할 수 있습니다. 이는 매우 정확한 안티 플러그인 방어 방법으로, 행동, 변수 및 고도로 난독화된 코드(ollvm 포함)를 포함하며, 당사의 방어 과정에서 매우 좋은 결과를 얻었습니다.

사용 방법

XCode로 .xcodeproj 파일을 열거나 새로운 정적 라이브러리 프로젝트를 생성합니다.
Build Phases -> Compile Sources로 이동하여 모든 *.c / *.mm 파일을 추가합니다.
command + B로 빌드합니다.

ios-malicious-bithunter는 단 하나의 API만 제공합니다: secinfo * Security_CoreFoundation(void);

호출 예시:

info = (secinfo *)malloc(sizeof(secinfo));

info->scan_result = (unsigned char * ) malloc(1024*1024);

memset(info->scan_result,0,1024*1024);

if(info == NULL)

{

    goto RETURN;

}
    
info->is_plugScan = security_scanEngine((unsigned char *)info->scan_result);

논리 원리

이 도구는 외부 매칭 규칙을 얻기 위한 API 인터페이스를 제공합니다. 런타임에 탈옥 및 재패키징된 동적 라이브러리의 동작을 분석하며, 주로 MachO 파일 형식의 정적 분석을 통해 Load Command와 다양한 세그먼트에서 임포트 테이블, 익스포트 테이블, 클래스 이름, 함수 이름, 문자열 등의 정보를 획득하고, 런타임 메모리 매핑을 통해 동적 라이브러리가 메모리에 로드되었는지 판단합니다.

논리 원리

탐지 데모 결과

우리는 SDK를 사용하여 수만 개의 탈옥 동적 라이브러리를 분석했습니다. 이러한 리소스는 일부 공개 탈옥 플러그인에서 가져온 것입니다. 다음은 현재 테스트 결과입니다:

파일명,규칙

ALS.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_H

CallAssist.dylib,FAKEDEV_H

EGrimaceTweak.dylib,FAKEDEV_H

Lynx.dylib,FAKEDEV_H

NZT.dylib,FAKEDEV_H

SystemInfo.dylib,FAKEDEV_H

YOY.dylib,FAKEDEV_H

fakephonelib.dylib,FAKEDEV_H

fakid.dylib,FAKEDEV_H

nt.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_M

1feaks.dylib,FAKETOUCH

ATTweak.dylib,FAKETOUCH

BTC-Springboard.dylib,FAKETOUCH

Callofdutygarena.dylib,FAKETOUCH

Cercube.dylib,FAKETOUCH

EASimulateTower.dylib,FAKETOUCH

EPEventTweak.dylib,FAKETOUCH

EvilHunterTycoon.dylib,FAKETOUCH

FlyBirdRemoteControl.dylib,FAKETOUCH

GamePlayerUI.dylib,FAKETOUCH

HAWK.dylib,FAKETOUCH

HonkaiImpactTW.dylib,FAKETOUCH

HookedInc.dylib,FAKETOUCH

IdleFitnessGymTycoon.dylib,FAKETOUCH

JudeTaxi_jb.dylib,FAKETOUCH

LienQuanMobile.dylib,FAKETOUCH

P4UTweak.dylib,FAKETOUCH

PUBGMOBILEFREEiOSGodsCom.dylib,FAKETOUCH

ScarFalliOSGodsCom.dylib,FAKETOUCH

SimulateTouch.dylib,FAKETOUCH

TSEventTweak.dylib,FAKETOUCH

TSTweak.dylib,FAKETOUCH

WildRift.dylib,FAKETOUCH

bitcoinminer.dylib,FAKETOUCH

coin.dylib,FAKETOUCH

dls2019.dylib,FAKETOUCH

dq2.dylib,FAKETOUCH

dungeoncorp.dylib,FAKETOUCH

easimulatetower.thirdparty.2.dylib,FAKETOUCH

freefire.dylib,FAKETOUCH

gameisbugged.dylib,FAKETOUCH

hidspringboard.dylib,FAKETOUCH

mycafe.dylib,FAKETOUCH

raidthedungeon.dylib,FAKETOUCH

royaldice.dylib,FAKETOUCH

rushroyale.dylib,FAKETOUCH

tetweak.dylib,FAKETOUCH

tkasmtouch.dylib,FAKETOUCH

1.dylib,FAKE_LBS

AliDt.dylib,FAKE_LBS

CyDown.dylib,FAKE_LBS

DouTu.dylib,FAKE_LBS

GpsHookLibrary.dylib,FAKE_LBS

Lamo.dylib,FAKE_LBS

LamoClient.dylib,FAKE_LBS

OTRLocation.dylib,FAKE_LBS

WeChatHookPro.dylib,FAKE_LBS

abcd.dylib,FAKE_LBS

appstoreplusUI.dylib,FAKE_LBS

easimulatetower.client.dylib,FAKE_LBS

kfc.dylib,FAKE_LBS

lk.dylib,FAKE_LBS

m.dylib,FAKE_LBS

mmm.dylib,FAKE_LBS

pbyy.dylib,FAKE_LBS

phonetweak.dylib,FAKE_LBS

tou111.dylib,FAKE_LBS

txytweak.dylib,FAKE_LBS

xiaoqi.dylib,FAKE_LBS

xin.dylib,FAKE_LBS

zorro.dylib,FAKE_LBS

zzzzzLiberty.dylib,FAKE_LBS

ios-malicious-bithunter

인기

iOS 악성 비트 헌터

개요

새로운 기능

사용 방법

논리 원리

탐지 데모 결과