alipay/ios-malicious-bithunter
iOS Malicious Bit Hunter é um mecanismo de detecção de plug-ins maliciosos para aplicativos iOS. Ele pode analisar o cabeçalho do arquivo macho da biblioteca dinâmica dylib injetada com base em runtime. Se você está interessado em outros programas do autor, visite https://github.com/SecurityLife
O iOS Caçador de Bits Maliciosos é um motor de detecção de plug-ins maliciosos para aplicativos iOS. Ele pode analisar o cabeçalho do arquivo macho da biblioteca dinâmica dylib injetada com base no runtime, e pode realizar análise de comportamento através de características de entrada da interface para determinar o comportamento da funcionalidade da biblioteca dinâmica. O programa não depende do ambiente de jailbreak e pode ser usado na AppStore.
Esta é uma nova maneira de identificar com precisão o comportamento de código malicioso iOS. Baseada no método de análise de código malicioso em execução na memória, baseado no formato Mach-O no aplicativo, ela pode realizar reconhecimento flexível de comportamento para análise e rastreamento contínuo. Este é um método de defesa anti-plug-in muito preciso, incluindo comportamentos, variáveis e código altamente ofuscado (incluindo ollvm), que alcançou resultados muito bons em nosso processo de defesa.
O ios-malicious-bithunter tem apenas uma API: secinfo * Security_CoreFoundation(void);
Exemplo de invocação:
info = (secinfo *)malloc(sizeof(secinfo));
info->scan_result = (unsigned char * ) malloc(1024*1024);
memset(info->scan_result,0,1024*1024);
if(info == NULL)
{
goto RETURN;
}
info->is_plugScan = security_scanEngine((unsigned char *)info->scan_result);
A ferramenta fornece uma interface de API para obter regras de correspondência externas. Ela irá analisar o comportamento de bibliotecas dinâmicas com jailbreak e reempacotadas em tempo de execução, principalmente através da análise estática do formato de arquivo MachO, através do Load Command e diferentes segmentos para obter a tabela de importação, tabela de exportação, nome de classe, nome de função, string e outras informações, e julgar se a biblioteca dinâmica foi carregada na memória através do mapa de memória em tempo de execução.
Usamos nosso SDK para analisar dezenas de milhares de bibliotecas dinâmicas de jailbreak. Esses recursos vêm de alguns plugins públicos de jailbreak. Abaixo estão nossos resultados atuais de teste:
arquivo,regra
ALS.dylib,FAKEDEV_H
AWZ.dylib,FAKEDEV_H
CallAssist.dylib,FAKEDEV_H
EGrimaceTweak.dylib,FAKEDEV_H
Lynx.dylib,FAKEDEV_H
NZT.dylib,FAKEDEV_H
SystemInfo.dylib,FAKEDEV_H
YOY.dylib,FAKEDEV_H
fakephonelib.dylib,FAKEDEV_H
fakid.dylib,FAKEDEV_H
nt.dylib,FAKEDEV_H
AWZ.dylib,FAKEDEV_M
1feaks.dylib,FAKETOUCH
ATTweak.dylib,FAKETOUCH
BTC-Springboard.dylib,FAKETOUCH
Callofdutygarena.dylib,FAKETOUCH
Cercube.dylib,FAKETOUCH
EASimulateTower.dylib,FAKETOUCH
EPEventTweak.dylib,FAKETOUCH
EvilHunterTycoon.dylib,FAKETOUCH
FlyBirdRemoteControl.dylib,FAKETOUCH
GamePlayerUI.dylib,FAKETOUCH
HAWK.dylib,FAKETOUCH
HonkaiImpactTW.dylib,FAKETOUCH
HookedInc.dylib,FAKETOUCH
IdleFitnessGymTycoon.dylib,FAKETOUCH
JudeTaxi_jb.dylib,FAKETOUCH
LienQuanMobile.dylib,FAKETOUCH
P4UTweak.dylib,FAKETOUCH
PUBGMOBILEFREEiOSGodsCom.dylib,FAKETOUCH
ScarFalliOSGodsCom.dylib,FAKETOUCH
SimulateTouch.dylib,FAKETOUCH
TSEventTweak.dylib,FAKETOUCH
TSTweak.dylib,FAKETOUCH
WildRift.dylib,FAKETOUCH
bitcoinminer.dylib,FAKETOUCH
coin.dylib,FAKETOUCH
dls2019.dylib,FAKETOUCH
dq2.dylib,FAKETOUCH
dungeoncorp.dylib,FAKETOUCH
easimulatetower.thirdparty.2.dylib,FAKETOUCH
freefire.dylib,FAKETOUCH
gameisbugged.dylib,FAKETOUCH
hidspringboard.dylib,FAKETOUCH
mycafe.dylib,FAKETOUCH
raidthedungeon.dylib,FAKETOUCH
royaldice.dylib,FAKETOUCH
rushroyale.dylib,FAKETOUCH
tetweak.dylib,FAKETOUCH
tkasmtouch.dylib,FAKETOUCH
1.dylib,FAKE_LBS
AliDt.dylib,FAKE_LBS
CyDown.dylib,FAKE_LBS
DouTu.dylib,FAKE_LBS
GpsHookLibrary.dylib,FAKE_LBS
Lamo.dylib,FAKE_LBS
LamoClient.dylib,FAKE_LBS
OTRLocation.dylib,FAKE_LBS
WeChatHookPro.dylib,FAKE_LBS
abcd.dylib,FAKE_LBS
appstoreplusUI.dylib,FAKE_LBS
easimulatetower.client.dylib,FAKE_LBS
kfc.dylib,FAKE_LBS
lk.dylib,FAKE_LBS
m.dylib,FAKE_LBS
mmm.dylib,FAKE_LBS
pbyy.dylib,FAKE_LBS
phonetweak.dylib,FAKE_LBS
tou111.dylib,FAKE_LBS
txytweak.dylib,FAKE_LBS
xiaoqi.dylib,FAKE_LBS
xin.dylib,FAKE_LBS
zorro.dylib,FAKE_LBS
zzzzzLiberty.dylib,FAKE_LBS