跳至主要内容

人手一份核武器 - Hacking Team 泄露（开源）资料导览手册


原文来自乌云，备份地址

0x00 序

事先声明本人并不是全栈安全工程师，仅仅是移动安全小菜一枚，所以对泄漏资料的分析难免会有疏忽或着错误，望各位围观的大侠手下留情。
首先来看安全界元老对Hacking Team(以下简称HT)被黑这个事件的看法：
@tombkeeper: Stuxnet 让公众知道：“原来真有这种事”，Snowden 让公众知道：“原来这种事这么多”，Hacking Team 让公众知道：“原来这种事都正经当买卖干了”。
@赵武在路上: 2011年的时候，HBGray被黑，很多人没有意识到意味着什么，因为跟国家安全相关。这两天Hacking team被黑，大家也没有意识到意味着什么。这次包括了客户清单和0day，但我更关注的是RCS的代码，以前行业内都是粗糙到不行的demo，工程化公开的很少，这次会让行业内的技术往前推进几年，尤其是黑产。
可以说这次事件和斯诺登事件的影响力是不相上下的，但HT被黑不光光是让公众知道有这回事，随之而来还有整整415G的泄漏资料！里面有Flash 0day, Windows字体0day, iOS enterprise backdoor app, Android selinux exploit, WP8 trojan等等核武级的漏洞和工具。那么废话不多说，我们这就开始导览之旅。
enter image description here

0x01 总览

因为所有文件加起来的大小整整有415.77G。光下载就得好久好久。还好有人把整个镜像放了一份在网上。有兴趣的同学可以直接去查看：http://ht.transparencytoolkit.org/。据说之所以这么大是因为里面有很多的邮件。但你不用担心你的小水管，有好人整理了一个只有1.3G的精华版。在这里我也提供一个百度网盘下载：http://pan.baidu.com/s/1i3lHQRF 。在下载完完整版之前，我们就先拿精华版解解馋吧。
里面的数据大概是这样的：
enter image description here
“HACKING TEAM PASSWORDS AND TWEETS.pdf” 里主要保存了Christian Pozzi这个人经常去的网站的账号以及密码以及twitter的截图。估计他就是那个被黑了电脑的人了，因为这个人的电脑被黑，连带着HT内网git服务器，知识库，邮件服务器的数据全部都被dump下来了。
enter image description here
Hacking Team Saudi Arabia Training.pdf里面数据貌似不全，通过提纲来开看主要是介绍了如何安装和使用RCS (Remote Control System)系统。不得不说HT最牛的东西就是他们的RCS系统了，他们公司实现了全平台的RCS系统（包括windows phone）。我们可以看一下他们系统的截图：
enter image description here
各种监控信息详细到令人发指。不知道有多少人被这样监控着。
gitosis-admin-master.zip里保存了git服务器上成员的public key以及每个人负责的项目，通过”gitosis.conf”就可以大概知道哪个项目是谁在做了。比如placidi这个成员主要做android相关的项目。Naga, daniele, zeno, diego, ivan这几个人组要做fuzzer。Matteo, zeno, daniele这几个主要做病毒查杀检测。
enter image description here
所以接下来的章节我们也会按照他们的分组来进行分别讲解。

0x02 Android

1 core-android-audiocapture-master.zip主要是利用Collin Mulliner提供的hook框架来hook mediaserver从而进行语音和通话监听。”Pack”文件夹里保存了最后编译完成的程序。而”references”文件夹里几乎都是Collin Mulliner论文的ppt，并且整个项目就是在 https://github.com/crmulliner/adbi这个项目上改的。截取下来的音频并不是 wav格式，还需要使用”decoder”文件夹下的工具进行解密，看样子作者除了电话监听，还成功测试了wechat, whatsapp, skype等应用的语音截获。
enter image description here
2 core-android-market-master.zip应该是用来向Google Play上传监控应用的项目。虽然说Google Play检测系统，但对于这种用于APT攻击的malware是毫无作用的。在\core-android-market-master\doc\readme.txt中还保存HT开发者账号的用户名和密码。但是当笔者准备尝试登录的时候，发现密码已经在几个小时前被修改了。
enter image description here
3 core-android-master.zip就是HT的RCS系统源码了。除去一些编译用的gradle文件，所有的源码都保存在” \core-android-master\RCSAndroid”目录下，通过这个RCS app除了可以做到基本信息监控外，还可以获取所有主流社交应用的信息。
enter image description here
在应用加固方面，这个RCS app除了使用了DexGuard进行混淆，还有虚拟机检测功能。根据开发日志，这个项目貌似还使用很多0day的trick对应用进行混淆。非常值得以后慢慢研究。 接下来就是重头戏root了，主要代码都在\core-android-master\RCSAndroid\jni 这个目录下， 上来就能看到” exploit_list.c”这个霸气的文件，里面可以调用各种exp来获取root权限：
enter image description here
除此之外，core-android-master\RCSAndroid\jni\selinux_exploit还有绕过 selinux enforcing模式的exploit。
4 core-android-native-master.zip中有更加详细的root项目代码和说明，在”legacy_native”文件夹中： Suidext中包含了所有的shell。Local2root中包含了<=4.1版本的root exp。在”selinux_native”文件夹中，”Put_user_exploit”: 包含了 put_user calls的exp。”Kernel_waiter_exploit”包含了towelroot的exp。Suidext包含了新的shell。使用” build.sh”编译完后的exp都在”bin”目录下（这些exp是可以干掉android 5.0 selinux的）。其他的文件请参考目录下的README.txt。因为是意大利语，请使用Google自行翻译一下。

0x03 iOS & Mac OS

1 “core-ios-master.zip”里面的” core”文件夹中保存了RCS的主要代码。主要是利用dylib注入对用户输入，GPS，屏幕等信息进行监控。
enter image description here
”ios-newsstand-app”文件夹应该是另一个ios应用的源码。看代码大概是替换ios系统的输入法，然后进行键盘记录，大概是用来攻击没有越狱的机器吧。”Keybreak”文件夹是用来破解手机锁屏密码的，里面有lockdownd remote exploit的源码。”ios-install-win32”和” ios-install-osx”文件夹里是windows和mac os下来给iPhone或者iPad装应用的工具。此外HT还拥有一个iOS enterprise帐号可以用来发布enpublic app: “UID=DE9J4B8GTF, CN=iPhone Distribution: HT srl, OU=DE9J4B8GTF, O=HT srl, C=IT”。关于enpublic app的危害，可以参考我之前的文章或论文。
2 “vector-ipa-master.zip”里面应该是另一个ios木马的源码，这个木马并不是应用，貌似是一个底层网络代理，可以用来监控或者控制系统的网络流量。
3 “core-macos-master.zip”的”core-macos-master\core”的文件夹中保存了mac os RCS的源码，其实就是mac os木马了，和windows的木马非常相似。

0x04 Windows Phone & symbian & blackberry

1 core-winphone-master.zip是Windows Phone的RCS木马。据说在WP设备上实现“激活追踪”是利用了系统中的一个0day，允许第三方代码程序像受信任程序一样执行。该RCS还可以获取联系人、日历、通话、地理位置、短信、传感器状态状态等信息。程序ID为：11B69356-6C6D-475D-8655-D29B240D96C8。
enter image description here
2 core-blackberry-master.zip和core-symbian-master.zip分别是黑莓和塞班的RCS系统。

0x05 Fuzzer

  1. fuzzer-windows-master.zip主要保存了windows下的fuzzer源码。里面有针对IE和字体的Fuzzer测试系统。
  2. fuzzer-android-master.zip主要保存了android下的fuzzer源码。里面有针对jpg，sms和system call的Fuzzer测试系统。Trinity主要是用来做system call fuzzer的，比如说binder使用的ioctl()系统调用。
enter image description here

0x06病毒查杀检测

test-av-master.zip是第一代产品。test-av2-master.zip是第二代产品。HT给他们起名叫AVMonitor。这个系统主要使用来做查杀检测，用来保证自己的产品可以通过检测。test-av2-master.zip\test-av2-master\doc\AVTEST Box.xlsx保存了他们使用的杀毒软件的列表和序列号。
enter image description here
在”test-av2-master\doc\whiteboard”文件夹中甚至有他们开会的白板照。
enter image description here

0x07 Exploit & 0day

vector-exploit-master.zip文件又是第二波高潮的开始，首先在里面你可以找到两个flash的exp: 一个是Flash的0day : ActionScript ByteArray Buffer Use After Free，另一个是Nicolas Joly在Pwn2Own 2015大赛中使用的CVE-2015-0349。为了在IE和Chrome上绕过其沙盒机制完全控制用户系统，Hacking Team还利用了一个Windows中的内核驱动： Adobe Font Driver(atmfd.dll)中存在的一处字体0day漏洞，实现权限提升并绕过沙盒机制。该0day漏洞可以用于WindowsXP~Windows 8.1系统，X86和X64平台都受影响。数字公司已经在很多人种子还没下完的时候就写出了分析报告：http://drops.wooyun.org/papers/6968，有兴趣的读者可以前去围观。
enter image description here
除了flash的两个exp和font 0day外，在vector-exploit-master\src\ht-webkit-Android4-src目录下还有一个Android Browser exploit，在用android brower浏览一个网页后就可以在目标机器上安装上目标apk。该漏洞会影响Android 4.0.到4.3.版本的手机。粗略看了一下源码，利用过程十分复杂，exp的利用至少有四个stage，还用到了information leak，heap spray等技术。PS:在vector-exploit-master\src\ht-webkit-Android4-src\docs中有公司开会的时候拍的exp图解。
enter image description here
enter image description here

0x08 其他

  1. GeoTrust-master Signing Keys.zip 保存了HT的GeoTrust证书。
  2. http://ht.transparencytoolkit.org/audio/ 里有大量的录音。
  3. HT在自己家的产品中留下了SQL后门，方便他们随时查询。http://ht.transparencytoolkit.org/rcs-dev%5cshare/HOME/ALoR/htdocs/conf.php
  4. 虚拟机保护壳VMProtect Professional的很多正版key泄漏
    https://ht.transparencytoolkit.org/rcs-dev%5cshare/HOME/ALoR/VMProtect.key https://ht.transparencytoolkit.org/rcs-dev%5cshare/HOME/Ivan/vmprotect/

0x09 八卦

1 Phineas Fisher号称自己黑了gamma和HT。HT的twitter还转发了这条消息。。。
enter image description here
2 HT的密码都特别简单，不被黑才怪。
enter image description here
3 http://ht.transparencytoolkit.org/c.pozzi/Desktop/you.txt 你懂的。。。(from @youstar)
enter image description here

0x0a 未完待续

由于泄漏的资料实在太过庞大，本文还有很多的内容没有覆盖到。因此我们在随后的几天还会继续跟进这个事件，并更新我们的文章，欢迎大家回来继续阅读。

0x0b 更新2015.7.10

1 HT泄漏中大家最关心的就是Flash 0day了，通过这个0day黑客可以让用户在浏览一个网页后就被黑客远程控制。这里我们给出一个POC（概念验证）网页供大家测试：http://zhengmin1989.com/HT/index.htm 该网页并不会安装恶意程序到你的电脑，但是会执行calc.exe命令唤起计算器程序。当然黑客也可以把计算器程序换成别的恶意程序或者直接执行del .等恶意指令，所以如果你弹出计算器了话赶紧去安装补丁吧！另外不要以为自己用的非主流的浏览器就不会中招，这些非主流的浏览器内核都是直接用主流浏览器的开源框架，只是换了个壳罢了。比如说这个115浏览器，该弹的一样会弹啊。
enter image description here
2 另外Windows中的内核驱动Adobe Font Driver(atmfd.dll)中存在的字体0day漏洞也有demo。可以在http://zhengmin1989.com/HT/32bitwin81.zip下载，本人已经在win8上测试成功了。
enter image description here
3 为了方便大家分析HT的项目源码，有人将HT的git服务器上传到了github并且对每个项目进行了一些简单说明，并且还在持续更新：https://github.com/hackedteam?tab=repositories 但说明都是英文版的，如果想要看中文版可以参考绿盟科技在drops发表的《简要分析Hacking Team 远程控制系统》： http://drops.wooyun.org/papers/7025
4 之前提过泄漏资料中绝大多数内容是邮件，Wikileaks已经把泄漏的所有邮件都放在他们的在线数据库中了，可以非常方便的进行搜索。地址是：https://wikileaks.org/hackingteam/emails/ 里面可以搜到很多劲爆邮件，比如HT在NSA的后门等。
enter image description here
5 在泄露的资料中可以找到HT的客户名单，甚至包括美国的FBI，一共有41,871,712 欧元生意： https://ht.transparencytoolkit.org/Amministrazione/01%20-%20CLIENTI/5%20-%20Analisi%20Fatturato/2015/02%20-%20Client%20Overview%202015/Client%20Overview_list_20150603.xlsx
enter image description here


为您推荐了适合您的技术文章:

  1. Hacking Team Android Browser Exploit代码分析
  2. 无处不在的监控: Hacking Team:WP8 监控代码分析
  3. 简要分析Hacking Team 远程控制系统
  4. Hacking Team不需越狱即可监控iOS用户
标签：

Popular posts from 产品随想的博客

《Elon Musk》Chapter 1 - 10

To anyone I’ve offended, I just want to say, I reinvented electric cars and I’m sending people to Mars in a rocket ship. Did you think I was also going to be a chill, normal dude? ——Elon Musk, Saturday Night Live, May 8, 2021 PROLOGUE: Muse of Fire Near the end of the first week, the boys were divided into two groups and told to attack each other. “It was so insane, mind-blowing,” Musk recalls. Every few years, one of the kids would die. The counselors would recount such stories as warnings. “Don’t be stupid like that dumb fuck who died last year,” they would say. “Don’t be the weak dumb fuck.” 这种氛围有毒 “I realized by then that if someone bullied me, I could punch them very hard in the nose, and then they wouldn’t bully me again. They might beat the shit out of me, but if I had punched them hard in the nose, they wouldn’t come after me again.” 勇于挑战，哈哈哈 In the emergency room, when they were preparing to stitch him up, he resisted being treated until he was promised that the dog would not ...
阅读全文

Steve Jobs: `There's Sanity Returning', 1998

Nobody can doubt the charisma of Steven P. Jobs. The interim CEO of Apple Computer Inc., who returned to the company last July after his ignominious 1985 ouster, has brought back his legendary vision, impatience, and infectious passion for the Macintosh. Jobs spoke to Business Week Correspondent Andy Reinhardt in Apple's stark, fourth-floor boardroom, just after the company rolled out its new software strategy on May 11. Note: This is an extended, online-only version of the Q&A that appears in the May 25, 1998, issue of Business Week. Q: Now that you've introduced the new, bold-looking iMac, are you going to do some radically different products? A: There's a lot of talk about such things -- about handhelds, set-top boxes. A lot of computer companies have been searching for a consumer product. My view is that the personal computer has been the most successful consumer product of the last 10 years. What we have to do, what the industry stopp...
阅读全文

罗伯特·艾格 创始人肖像计划 <​Ep.2>

Link 罗伯特·艾格 创始人肖像计划 <​Ep.2>   https://zhuanlan.zhihu.com/p/127042313 Note 这个男人，过去十五年时间，几乎不接受采访，只是静悄悄的，花掉了1000亿美金。 ——这个男人，太厉害了...... 艾格跳槽去了ABC，从最底层的小导播做起，一辈子46年职业生涯，再也没有跳过槽。这46年里的最后15年，他升任CEO，做出了惊天动地的大事情。 今年，艾格退休写了自传，起名字叫《The Ride of a Lifetime》，我想了半天，这书名有点拽，只能翻译成《一辈子就要干一票大的》，笔者一介俗人，但愿艾总不要介意，哈哈。 ——《一辈子的旅途》，感觉会更契合些？哈哈哈 在艾总的这本《干一票》里，我读来读去，总是找不到他是怎么升到副总裁的——升到副总裁之后的一步步到CEO倒是写的很细致，看来大佬写自传也为自己讳，不愿意提太多当年勇。 ——Interesting 地表最强二人组（Tom Murphy和Dan Burke）最牛逼的成就就是不出让股权（Equity）的资本并购。一路用自由现金流加发行债券来进行收购，85年的时候举债30亿，配合巴菲特的5亿美金，小鱼吞大鱼，一把吃掉了当时比自己体量大得多的ABC电视台。他们俩的管理特点是极端节俭，冷血砍成本（不禁让人想到贝索斯），收购完成后，直接开掉1500员工、干掉高管电梯、高管餐厅、全员改坐经济舱，甚至于把曼哈顿总部的办公室卖了，换来1.75亿美金。三年多就把当时举的债还完。 作为巴菲特一辈子最推崇的企业家组合，Tom和Dan还有一个特点：放权。他们俩极为谨慎用人，但是一旦选中，就破格提拔，尚方宝剑交出，让牛人干大事。没干多久，俩人就接二连三的退休了，艾格你年轻，你来当总裁！ 艾格原话是这么写的：“我心里也有预期，感觉最后总裁的位置是我的，但是确实没想到来的那么快”。按照网友的话就是“一脸懵逼”。 艾格有个特点，他性格是标准的外柔内刚，外圆内方。他不强势，不豪夺，永远不是人群中最聒噪的那位。他能等，在大都会（CapCities）花六年时间做三把手，等到二把手退休，再等好几年到一把手退休，最终上位 ——耐得住寂寞，受得住繁华 21世纪出头即提出战略： 第一句：我们只做高质量品牌视频 第二句：全力拥抱技术而不是对抗 第三句：全球化 大佬的出手案例...
阅读全文

CAD 天正与 AI 工作流

基本步骤   1. 天正导出 T3 .dwg 文件，尽量在2007版本   2. AI 打开，打开时候可以选择比例，因为 AI 画布是基于真实尺度   3. AI 打开 .dwg 后，更改画布到所需要的大小   4. 之后用 PS 打开 AI 文件，可以维持想要的大小和比例   5. 而且 AI 可以读取天正的图层 课外了解   1. ETH 风格平面图   2. 日本创新性的停车方式   3. AI中的实时上色功能去了解
阅读全文

初识PAM

Pluggable Authentication Modules for Linux 可插拨认证模块 用户访问服务器，服务程序将请求发送至PAM模块
阅读全文

BG投资十问（Baillie Gifford）

  1，公司是否能正面推动经济、社会或者文化发 展？ 如果做不到，BG可能就不会再往下看了。比如军火、赌博类公司再便宜，BG不会去看。 2，公司销售额在5年之内能否翻倍？ 为什么要讨论销售额？因为BG关注公司成长，销售额是比较简单直观的指标，而利润可有一些方法调节。所以，BG主要先关注销售额，再看现金流。 3，公司5年之后会怎么样？ 这是未来5到10年或者5到15年的中间维度，一是看公司的成长空间究竟还有多大，二是考虑5年之后，公司的短期估值会不会下降，会不会变得成熟。 4，公司的竞争优势到底是什么？随着时间会变 强还是变弱？ BG认为，如果公司的竞争优势是不断变弱的，将来在更远期挣回现金流的可能性就更低了。 5，公司是否有非常独特的文化？文化是否能够进化？ 毕竟要投资这么长时间，对创始人和公司管理文化是非常关注的。特别喜欢创始人领导的公司，而不是说创始人什么都不干，创始人在做房地产，找了一些人在做新公司，要尽量避免这样的公司。 谈到进化在BG看来，大部分公司都会有大公司病，需要看它怎么能维持比较灵活的管理，变大之后还能够保持非常快速的成长，比如亚马逊的day one文化（注：就是始终处在 创业启动状态，充满迷茫和压力，但是充满创造力和颠覆思想 ）。 6，公司过去的回报率怎么样？ 一方面是考虑到公司的ROE（净资产收益率），二是考虑公司的Margins（利润），看它的过去是不是值得投资，如果每年ROE都不到10个点，可能长期来看也没什么意思。 7，ROE能不能随着时间增长？ 有些公司一开始没有盈利，一直在烧钱，5年之后说不定ROE会到20%或者更高，它是一个动态过程。这样的公司BG也会投资，包括一些早期项目，很多公司都是没有盈利的。 8，公司怎么分配资本？ 资本现金流无非就是5种方法：再投资、收购、还债、分红、回购股份，要看公司在某个阶段的资本分配是不是最优的。 如果公司明明可以发展更多，结果乱分红了；或者是明明到了特别成熟的时候，还不愿意分红，都是错误的分配资本。 9，公司怎样才能长成5倍？ BG关注的是怎样，而不是能不能。这会强迫BG每个人去设想一些未来的可能性，包括公司现在的底层架构能不能够延伸到更多的业务。 比如，早期的亚马逊或者是阿里，连一个概念都没有，BG会考虑这个公司有没有这种机遇，以后去扩展到可触及的市场。 10，市场对公司有哪些误解，哪些事...
阅读全文

进入双拼的世界

──小鹤双拼官方记忆口诀诗一首 Kuai ing Liang uang Ruan Cao Zou , T ue Qiu Yun Wei Jan Mian 快 迎 两 王 软 草 走 ，特 约 秋 云 为 见 面 Xia ua Song iong ShU ChI ZhVi , Geng Dai Bin Niao Fen Pie Hang 夏 娃 怂 恿 书 痴 追，更 待 斌 鸟 分 撇 航 注释： 如上，一和三两句的前四个字为一个大写字母代表了两个字的拼音   T ue各取拼音谐音为特约，Jan取英文谐音为见，其余均是一个大写字母代表一个字的拼音   斌鸟是一种鸟，分撇一词是分离之意，故斌鸟分撇航意为鸳鸯各自飞。   译文： 一个地方官笑着说：“快欢迎两位王爷到软草原走一走，我为两位特意约了秋云姑娘来见面”，   夏娃听见了，怂恿暗恋秋云的书痴快去追，此时不追，更待何时？难道要等鸳鸯各自飞？ 记住后，每按一个键，都得停顿几秒，不过熟悉了字母和声韵母之间的对应关系。 双拼练习网站推荐： https://linci.co/sp/ 
阅读全文

The Three Faces Of Steve Jobs, Brent Schlender, 1998 Fortune

(FORTUNE Magazine) – Well into the conversation with FORTUNE that you're about to read, Steve Jobs, the once and interim CEO of Apple Computer, professes to feel, at the wizened age of 43, no different from when he was a frisky 17-year-old. True to form, he contradicts himself a little later, confessing to be "an old man now." Those comments reveal as much about why Jobs has been able to pull off his prestidigital revival of Apple--his first and still greatest creation--as do his observations on his business strategies and actions of the past year. Here's why. Jobs is most effective as a businessman and leader when he invokes the pathos and gestalt of his generation. He is, after all, a child of the 1960s--you're still likely to find him barefoot in the office, and for breakfast he eats granola doused in apple juice. Yet Jobs is also a mature baby-boomer, with an impressive if offbeat store of business experience, plus the typical worries that go with...
阅读全文