iOS Malicious Bit Hunter

Аннотация

iOS Malicious Bit Hunter — это механизм обнаружения вредоносных плагинов для iOS-приложений. Он может анализировать заголовок macho-файла внедренной dylib динамической библиотеки во время выполнения, а также выполнять анализ поведения через характеристики ввода интерфейса для определения поведения функции динамической библиотеки. Программа не требует среды джейлбрейка и может использоваться на AppStore.

Новая функция

Это новый способ точного выявления поведения вредоносного кода iOS. Основанный на методе анализа вредоносного кода, выполняющегося в памяти на основе формата Mach-O в приложении, он может выполнять гибкое распознавание поведения для анализа и непрерывного отслеживания. Это очень точный метод защиты от плагинов, включающий поведение, переменные и сильно запутанный код (включая ollvm), который показал очень хорошие результаты в нашем процессе защиты.

Как использовать

1. Используйте XCode, чтобы открыть файл .xcodeproj, или создайте новый проект статической библиотеки.
2. Перейдите в Build Phases -> Compile Sources, добавьте все файлы *.c / *.mm.
3. Нажмите command + B для сборки.

ios-malicious-bithunter имеет только один API: secinfo * Security_CoreFoundation(void);

Пример вызова:

info = (secinfo *)malloc(sizeof(secinfo));

info->scan_result = (unsigned char * ) malloc(1024*1024);

memset(info->scan_result,0,1024*1024);

if(info == NULL)

{

    goto RETURN;

}
    
info->is_plugScan = security_scanEngine((unsigned char *)info->scan_result);

Логический принцип

Инструмент предоставляет API-интерфейс для получения внешних правил соответствия. Он анализирует поведение джейлбрейкнутых и перепакованных динамических библиотек во время выполнения, в основном с помощью статического анализа формата файла MachO, через Load Command и различные сегменты получает таблицу импорта, таблицу экспорта, имена классов, имена функций, строки и другую информацию, а также определяет, загружена ли динамическая библиотека в память, с помощью отображения памяти во время выполнения.

Результаты демонстрационного обнаружения

Мы использовали наш SDK для анализа десятков тысяч джейлбрейк-динамических библиотек. Эти ресурсы взяты из некоторых общедоступных джейлбрейк-плагинов. Ниже приведены наши текущие результаты тестирования：

filename,rule

ALS.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_H

CallAssist.dylib,FAKEDEV_H

EGrimaceTweak.dylib,FAKEDEV_H

Lynx.dylib,FAKEDEV_H

NZT.dylib,FAKEDEV_H

SystemInfo.dylib,FAKEDEV_H

YOY.dylib,FAKEDEV_H

fakephonelib.dylib,FAKEDEV_H

fakid.dylib,FAKEDEV_H

nt.dylib,FAKEDEV_H

AWZ.dylib,FAKEDEV_M

1feaks.dylib,FAKETOUCH

ATTweak.dylib,FAKETOUCH

BTC-Springboard.dylib,FAKETOUCH

Callofdutygarena.dylib,FAKETOUCH

Cercube.dylib,FAKETOUCH

EASimulateTower.dylib,FAKETOUCH

EPEventTweak.dylib,FAKETOUCH

EvilHunterTycoon.dylib,FAKETOUCH

FlyBirdRemoteControl.dylib,FAKETOUCH

GamePlayerUI.dylib,FAKETOUCH

HAWK.dylib,FAKETOUCH

HonkaiImpactTW.dylib,FAKETOUCH

HookedInc.dylib,FAKETOUCH

IdleFitnessGymTycoon.dylib,FAKETOUCH

JudeTaxi_jb.dylib,FAKETOUCH

LienQuanMobile.dylib,FAKETOUCH

P4UTweak.dylib,FAKETOUCH

PUBGMOBILEFREEiOSGodsCom.dylib,FAKETOUCH

ScarFalliOSGodsCom.dylib,FAKETOUCH

SimulateTouch.dylib,FAKETOUCH

TSEventTweak.dylib,FAKETOUCH

TSTweak.dylib,FAKETOUCH

WildRift.dylib,FAKETOUCH

bitcoinminer.dylib,FAKETOUCH

coin.dylib,FAKETOUCH

dls2019.dylib,FAKETOUCH

dq2.dylib,FAKETOUCH

dungeoncorp.dylib,FAKETOUCH

easimulatetower.thirdparty.2.dylib,FAKETOUCH

freefire.dylib,FAKETOUCH

gameisbugged.dylib,FAKETOUCH

hidspringboard.dylib,FAKETOUCH

mycafe.dylib,FAKETOUCH

raidthedungeon.dylib,FAKETOUCH

royaldice.dylib,FAKETOUCH

rushroyale.dylib,FAKETOUCH

tetweak.dylib,FAKETOUCH

tkasmtouch.dylib,FAKETOUCH

1.dylib,FAKE_LBS

AliDt.dylib,FAKE_LBS

CyDown.dylib,FAKE_LBS

DouTu.dylib,FAKE_LBS

GpsHookLibrary.dylib,FAKE_LBS

Lamo.dylib,FAKE_LBS

LamoClient.dylib,FAKE_LBS

OTRLocation.dylib,FAKE_LBS

WeChatHookPro.dylib,FAKE_LBS

abcd.dylib,FAKE_LBS

appstoreplusUI.dylib,FAKE_LBS

easimulatetower.client.dylib,FAKE_LBS

kfc.dylib,FAKE_LBS

lk.dylib,FAKE_LBS

m.dylib,FAKE_LBS

mmm.dylib,FAKE_LBS

pbyy.dylib,FAKE_LBS

phonetweak.dylib,FAKE_LBS

tou111.dylib,FAKE_LBS

txytweak.dylib,FAKE_LBS

xiaoqi.dylib,FAKE_LBS

xin.dylib,FAKE_LBS

zorro.dylib,FAKE_LBS

zzzzzLiberty.dylib,FAKE_LBS