0x01 恶意行为与C2服务器

通信密钥分析

恶意程序将其与服务器通信的数据做了加密，如下图所示：

密钥的计算方法：

通过分析，密钥为：stringWi，生成密钥的方式比较有迷惑性。

方法是：首先检测用户手机上是否安装了目标应用，如果目标应用没有安装，则安装相应应用，其中目标应用由C2服务器控制。

我们逆向了恶意代码与C2服务器的通信协议，搭建了一个测试的C2服务器。然后通过C2服务器可以控制客户端安装第三方应用（演示应用为测试应用，不代表恶意软件推广该应用），见视频，

这是第一个针对 XcodeGhost 能力的视频演示。

Xcode 中存在一个配置文件，该配置文件可以用来控制编译器的链接行为，在受感染的 Xcode 中，该文件被修改，从而在链接阶段使程序链接含有恶意代码的对象文件，实现向正常iOS应用中注入恶意代码的目的。

被修改的文件内容如下：

从上图可以看到，程序会链接恶意对象文件 CoreService。

从链接过程的 Log 中可以看到其是如何影响链接过程的：

注：实际上可以让 CoreService 从文件系统中消失，且在链接Log中没有任何额外信息。

通过在配置文件中添加的链接选项，在工程的编译设置中无法看到，这就增加隐蔽性：

首先 CoreService 的文件类型为：Object，即对象文件。

查看 CoreService 中的符号，可以看到：

导入的符号有：

首先编写一个 ObjC 的类，测试如下图：

制作出对象文件 ProteasInjector.o，然后用这个文件替换掉 CoreService 文件，编译程序，然后反汇编，结果如下：

可以看到代码被注入到应用中。