這款安卓後門GhostCtrl可能是「史上功能最多」的後門

這個世界上從來都不缺Android惡意軟體，但我們卻很少能夠遇到像GhostCtrl後門這種功能如此之多的Android安全威脅。

根據趨勢科技的研究人員透露的信息，這款惡意軟體已經更新到了第三代版本，並且最新版還添加了很多特殊的功能，比如說它不僅可以竊取任何種類的信息，而且還允許攻擊者完全接管目標設備。更重要的是，它還能夠做到其他各種非常有意思的事情。可以說是只有你想不到，沒有它做不到的。

下圖位GhostCtrl v3版本中 resources.arsc文件的分析截圖，這表明它是一個OmniRAT變種：

GhostCtrl後門的功能

GhostCtrl後門基於多平台OmniRAT，它在暗網市場上的售價約為75。

它的C&C通信是經過加密的，它所接收到的控制命令中包含活動代碼以及DATA對象，這將允許攻擊者指定攻擊目標以及活動內容，所以對於網路犯罪分子來說，GhostCtrl是一款非常靈活的高度定製化惡意軟體。

攻擊者可以通過發送遠程命令來實時監控目標手機的感測器數據、下載圖片並將其設為壁紙、上傳某個文件至C&C伺服器、給指定號碼發送定製化的SMS/MMS消息、以及控制目標手機下載特定文件等等。除此之外，GhostCtrl還可以完成以下幾種比較特別的任務：

1.      控制系統的紅外發射器；

2.      悄悄錄製視頻或音頻信息；

3.      使用文本轉語音功能；

4.      重置某賬號的密碼，賬號可由攻擊者指定；

5.      讓目標手機播放不同的音效；

6.      終止正在進行的通話；

7.      利用目標設備的藍牙連接至另外一台設備；

GhostCtrl可以竊取各種有價值的信息，例如：通話記錄、手機簡訊、聯繫人、電話號碼、照片、SIM序列號、定位數據、Android操作系統版本、用戶名、Wi-Fi、電池信息、藍牙、感測器數據、瀏覽器數據、手機運行的服務進程和壁紙等等。

GhostCtrl如何隱藏自己？

GhostCtrl會將自己偽裝成一個合法的熱門應用（例如WhatsApp和Pokémon GO）來避免被目標用戶發現。

研究人員表示：」當App啟動之後，它會對源文件中的一個字元串進行Base64解碼，然後得到一個惡意APK文件，隨後便會要求用戶進行安裝。不過，即使用戶點擊了安裝窗口中的取消按鈕，該窗口仍然會立即再次彈出。完成了安裝之後，APK將會啟動一項服務，並讓惡意軟體的主程序在後台運行。」

GhostCtrl不會在手機桌面上顯示圖標，而主要的後門功能APK包名為com.android.engine，一般用戶都會認為這是一個合法的系統應用，所以不會引起任何的懷疑。除此之外，最新版的GhostCtrl v3還使用了混淆技術來掩蓋其惡意活動。值得注意的是，GhostCtrl後門還可以配合Windows平台下的信息竊取型蠕蟲RETADUP來實施攻擊。

隨著移動設備的普及範圍越來越廣，GhostCtrl的影響範圍肯定還會進一步擴大。

* 參考來源：helpnetsecurity， FB小編Alpha_h4ck編譯，轉載請註明來自FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！