Thread by @moh53n_fa

(رشته توییت بسیار طولانی حاوی اطلاعات فنی و کم اهمیت؛ نمیدونم چرا نوشتم)
دیشب شخصی به من اطلاع داد که یک کانال حدودا یک میلیون نفری، احتمالا در حال پخش فیلترشکن و VPN آلوده به بدافزار هست.
تصمیم گرفتم همون موقع بررسی کنم. اسکن های اتوماتیک هیچ نشانی از آلودگی نداشتن.
1/21

پس سمپلی که برام ارسال شده بود رو دیکامپایل کردم و هم زمان روی vm بالا آوردم. با دو تا پاپ آپ مواجه شدم که اولی داینامیک بود و لینکش رو پیدا کرده بودم.
توی پاپ آپ دوم نوشته بود "عضویت اجباری"، برام خنده دار بود تا زمانی که متوجه شدم چنین عبارتی در سورس اپ نیست.
2/21

و بعدتر، بدتر شد چون دیدم این عبارت با کلید AES انکریپت شده و حین اجرای اپ دیکریپت میشه. آخه چرا؟ چه ریگی به کفش این اپ بود؟
با کمی بررسی سورس، متوجه obfuscation شدید اپ شدم که داشت بهم سردرد می‌داد. اما اوضاع باز هم عجیب تر شد.
3/21

این اپ به اصطلاح "مود شده"، یک library باینری در خودش داشت که در اپ اصلی وجود نداشت.
برام قابل درک نبود. آنتی ویروس ها و اسکنر ها هیچ چیز یا رفتار مشکوکی پیدا نکرده بودن و دسترسی های برنامه، زیادی محدود بود برای بدافزار بودن. این library حدود 700 کیلوبایت حجم داشت.
4/21

آنالیز های بیشتر استاتیک و داینامیک، هیچ مورد خاصی نشون نداد. فقط سورس دیکامپایل شده، زیادی خالی به نظر می‌رسید. یادم افتاد که تقریبا هیچ جای سورس ندیدم که اون عملیات دیکریپت AES اتفاق بیفته. از طرفی برام سوال شد که نسخه مود شده، چه چیزی به این اپ اضافه کرده؟
5/21

خیلی مرسومه که modder ها، تغییرات اعمالی نسبت به نسخه اصلی رو مینویسن اما اینجا چیزی ذکر نشده بود.
تا اینجای کار ذهنم به این سمت رفت که با یک modder آماتور طرفیم که با ابزار و برنامه های آماده، اپ هارو پچ و ماد (مود؟) میکنه و لزوما چیزی به جز بنر کانالش، اضافه نمیشه.
6/21

با این حال چند تا مشکل وجود داشت که جوابی براشون نداشتم. نتیجتا library مذکور رو disassemble کردم و چند مورد جالب دیدم. اول اینکه کار های زیاد و مختلفی داشت اتفاق میفتاد که فهمش راحت نبود. دوم اینکه متوجه شدم خیلی از string های برنامه، داخل این library هست.
7/21

سوم اینکه با بررسی دقیق تر سورس جاوا، متوجه شدم Crypto داره اونجا ستاپ میشه، اما با توجه به string های داخل این باینری، عملیات decryption داره اینجا اتفاق میفته.
کم کم داشتم به این نتیجه میرسیدم که ممکنه با یک "چیزِ بدِ پیشرفته و مبهم" طرف باشم.
8/21

خوشبختانه با نگاه دقیق تر به سورس جاوا، اولین سرنخ برای تایید حدس اولم درباره آماتور بودن modder کشف شد. در جایی که احتمال میدادم بنر دوم لود میشه، credit یک پسر زیر 18 سال خارجی رو دیدم (خیلی هم اصرار داره بنده خدا).
9/21

حدس زدم بنر دوم با توجه به شکل خاصش، توسط یک ابزار (متعلق به این آقا پسر) ساخته شده. اما جستجو برای nickname این پسر فقط منو به کانال ماد ماینکرفتش می رسوند.
سرچ اسم library یا کردیت ها، هیچ سمپل مشابهی بهم نداد. چرا باید چنین بنری رو (اونم به این شکل) در یک باینری جا کنه؟
10/21

اون library باینری مشخصا مخصوص همین اپ generate شده بود چون string های داخلی اپ رو درون خودش داشت. پس نمیتونست فقط برای بنر باشه.
نهایتا بعد از کلی سرچ، یک ابزار مشکوک در یکی از چنل های این پسر دیدم.
بعد از تستش متوجه شدم برای ساخت همون پاپ آپ (Dialog) ها هست.
11/21

یک خروجی تستی ازش گرفتم و دیدم یک فایل زیپ حاوی پچ smali و فونت میده. خبری از باینری نبود اما کد smali نمونه با بخشی از کد سورس جاوا مطابقت داشت، ظاهر پاپ آپ مشابه بود و Encryption متن، اینجا هم بود.
تا اینجا فهمیدم "عضویت اجباری" مطابق حدس خودم، بلوف بوده.
12/21

اما چرا
1. متن پاپ آپ رو انکریپت میکرد؟
2. اون باینری وجود داره؟
3. کد جاوای دیکامپایل شده ناقصه؟
با توجه به اینکه احتمال حدسم درباره آماتور بودن modder رو زیاد میدونستم (که در مورد اول هم ثابت شد)، باید باز هم دنبال ابزار میگشتم. احتمالا فقط با ابزار های modding مواجه بودم
13/21

انکریپت متن پاپ آپ رو گذاشتم به حساب جوگیری اون پسر طراح ابزار، چون کد Generator رو بررسی کردم و تمام خروجی ها همینطوری بود، بدون هیچ پس و پیش یا چیز خاصی (اگر هم دلیل خاصی داشته، اینجا مهم نبود چون الان میدونستم این کار modder ایرانی ما نیست).
14/21

با کمی دقت بیشتر، دیدم compiled from که jadx از dex کشیده بیرون، عادی نیست.
سرچ کردنش طبق معمول هیچ مورد مشابهی برام نیاورد. اما
NP_Dex2C...
(اسم library)...
بله، DCC. کامپایلر لعنتی AoT که DEX رو تبدیل به C، و کامپایل میکنه. ازش متنفرم.
15/21 libnpdcc.so

پس کد های نامفهوم توی اون باینری در واقع DEX تبدیل شده بوده، و به همین دلیل سورس جاوا خلوت بود و خیلی چیز ها داخل اون باینری بود. لعنت به من، باید زودتر می‌فهمیدم
مطمئن بودم که modder آماتور ما، خودش اینکارو نکرده. پس باید دنبال یک ابزار آماده میبودم که Dex2C هم داشته باشه.
16/21

با تکه تکه کردن اسم و سرچ، به یک اپ اندرویدی چینی رسیدم که کلی امکانات برای ماد APK داشت. از پچ smali تا obfuscation و البته Dex2C. معما حل شد.
در واقع modder آماتور ما، با این ابزار فقط یک سری کد از جاهای مختلف به این برنامه پچ کرده بود،
17/21 libnpdcc.so

و احتمالا بعد هم هرچی دکمه بوده کلیک کرده تا اپ به این وضعیت بیفته.
نتایج:
1. استفاده کورکورانه از ابزار های آماده خطرناکه و ممکنه خروجی آلوده بده.
2. این modder عزیز احتمالا با ابزار های آماده و مختلف، فقط license و payment اپ هارو پچ میکرده، شاید چهار تا tweak آماده اضافه
18/21

میکرده و بنر خودش رو میذاشته اون داخل. در این مورد خاص چون برنامه رایگان بوده، عملا فقط بنر گذاشته.
3. خیلی از این ابزار ها و اطلاعات فقط در تلگرام وجود داشتن و هیچ جا ایندکس نشده بودن، که دهن منو سرویس کرد و جالب بود. از عواقب پلتفرم های ایزوله و ایندکس نشده...
19/21

4. همچنان نمیشه با قطعیت گفت که اون چنل امن بوده، چون تمام اپ های اون چنل بررسی نشدن و بررسی کامل اون باینری هم از توان و حوصله من خارجه. اما به احتمال بسیار زیاد، حداقل این اپ آلودگی نداشته.
5. دانلود برنامه اندرویدی از تلگرام، دیوانگیه. نکنید.
20/21

بعد از 6 ساعت آنالیز و یک ساعت نوشتن، در پایان نگاهی میندازیم به این خوشمزه بازی modder آماتور داستان ما که یک پیام داره برای کسایی که "اسکی میرن".
اصلا هم کاری نداریم که عملا خودش چکار میکنه.
(⚠️ تصویر حاوی الفاظ بی ادبانه)
پایان
21/21