在追踪Earth Empura（也被稱為POISON CARP/Evil Eye）時，趨勢科技發現了一個未被記錄過的Android間諜軟體並命名為ActionSpy（趨勢科技偵測為AndroidOS_ActionSpy.HRX）。在2020年第一季，我們觀察到Earth Empusa駭客集團針對西藏和土耳其使用者的攻擊活動，然後又將觸手伸到了台灣。據報他們的攻擊活動是透過入侵Android和iOS行動裝置來針對維吾爾族相關受害者。這個駭客集團已知會使用水坑攻擊，但最近我們也觀察到他們用網路釣魚(Phishing)攻擊來散播惡意軟體。
用來感染行動裝置的惡意軟體被發現與2016年以來一連串的iOS漏洞攻擊鏈攻擊有關。在2020年4月，我們注意到一個釣魚網頁偽裝成一款西藏Android熱門影片應用程式的下載頁面。這釣魚網頁看起來是拷貝自第三方網路商店，可能是由Earth Empusa建立。會這樣推論的原因是網頁注入的惡意腳本之一託管在該駭客集團所有的網域。我們在檢查下載的Android應用程式後發現了ActionSpy。
從四個即時通應用程式收集聊天紀錄以監聽訊息
ActionSpy可能從2017年開始就已經存在，這是個能夠讓攻擊者從受感染裝置收集資訊的Android間諜軟體。它還具備一個模組來用Android無障礙功能從四個即時通應用程式收集聊天紀錄以監聽即時通訊息。
Earth Empusa使用網路釣魚頁面的方式跟我們最近報導過的毒化新聞行動（Operation Poisoned News）類似，一樣用新聞網頁作為誘餌來對行動裝置進行漏洞攻擊。Earth Empusa還會用社交工程誘餌來誘騙目標瀏覽釣魚網頁。我們在2020年3月發現他們的伺服器出現了拷貝自維吾爾族相關新聞網站的新聞網頁。所有網頁都被注入腳本來載入跨站腳本框架BeEF。我們懷疑當目標受害者瀏覽上述網站時，攻擊者會利用該框架來派送惡意腳本。不過當我們試著瀏覽上述釣魚網頁來進一步調查時並沒有發現腳本出現。這些網頁的散播機制目前仍不清楚。
在 2020年4月下旬繼續進行調查時，我們發現另一個似乎是拷貝第三方網路商店的釣魚網頁，而且會注入兩個腳本來載入ScanBox和BeEF框架。這個釣魚網頁會邀請使用者下載藏族Android使用者熟知的影片應用程式。我們認為這個網頁是由Earth Empusa所建立，因為BeEF框架是運行在據稱屬於該駭客集團的網域。下載連結會連到包含Android應用程式的壓縮檔。經過分析後發現這是一個未被記錄過的Android間諜軟體，我們將其命名為ActionSpy。
圖5. 釣魚網頁注入的ScanBox（上）和BeEF（下）顯示與Earth Empusa網域重疊之處
深入ActionSpy
這個惡意軟體偽裝成一個維吾爾族影片應用程式Ekran。它具備了跟正版相同的外觀和功能，這點是利用VirtualApp來做到。此外它還利用Bangcle保護來躲避靜態分析和偵測。
正常的Ekran APK檔案被內嵌在ActionSpy的assets資料夾，會在ActionSpy首次啟動準備好VirtualApp後安裝入虛擬環境。
ActionSpy的設定（包括其C&C伺服器地址）使用DES加密。解密金鑰是用原生程式碼產生。這讓ActionSpy難以進行靜態分析。
ActionSpy每隔30秒就會收集基本裝置資訊
ActionSpy每隔30秒就會收集基本裝置資訊（如IMEI、電話號碼、製造商、電池狀態等）傳送給C&C伺服器。伺服器可能會返回在受感染裝置上執行的命令。C&C與ActionSpy間的通訊流量都經過RSA加密並透過HTTP傳輸。
ActionSpy支援下列模組：
| 模組名稱 | 敘述 |
| location | 取得裝置位置經緯度 |
| geo | 取得地理區域如省、市、區、街道地址 |
| contacts | 取得聯絡人資訊 |
| calling | 取得電話紀錄 |
| sms | 取得簡訊 |
| nettrace | 取得瀏覽器書籤 |
| software | 取得已安裝應用程式資訊 |
| process | 取得執行中程序資訊 |
| wifi connect | 讓裝置連接指定無線熱點 |
| wifi disconnect | 讓裝置中斷無線網路 |
| wifi list | 取得所有可用無線熱點資訊 |
| dir | 收集SD卡上指定類型檔案的列表，如txt、jpg、mp4、doc、xls… |
| file | 上傳裝置檔案到C&C伺服器 |
| voice | 錄環境音 |
| camera | 用鏡頭拍照 |
| screen | 螢幕截圖 |
| 取得微信資料夾結構 | |
| wxfile | 取得微信接收或送出的檔案 |
| wxrecord | 取得微信、QQ、WhatsApp和Viber的聊天紀錄 |
要求開啟無障礙服務，聲稱是記憶體垃圾清理服務
一般來說，在Android上的第三方應用程式不能存取不屬於自己的檔案。這讓ActionSpy難以在沒有root權限下竊取微信等即時通應用程式的聊天紀錄檔。所以ActionSpy用了間接作法：要求使用者開啟無障礙服務，聲稱自己是記憶體垃圾清理服務。
一旦使用者開啟無障礙功能服務後，ActionSpy會監視裝置的無障礙功能事件，出現在使用者介面出現”顯著”變化（如點擊按鈕、輸入文字或畫面改變）時。當收到無障礙功能事件，ActionSpy會檢查事件類型是否為VIEW_SCROLLED或WINDOW_CONTENT_CHANGED，然後檢查事件是否來自如微信、QQ、WhatsApp和Viber等目標應用程式。如果滿足以上條件，則ActionSpy會分析當前活動內容並提取如暱稱、聊天內容和聊天時間等資訊。所有的聊天資訊都會經過整理並儲存到一個本地端SQLite資料庫。當送出wxrecord命令時，ActionSpy會收集資料庫內的聊天記錄並轉成JSON格式，接著傳送到C&C伺服器。
根據其憑證簽章時間（2017-07-10），我們認為ActionSpy至少已經存在了三年。我們還找到一些在2017年製作的舊ActionSpy版本。
Earth Empusa針對iOS系統的水坑攻擊
Earth Empusa還會用水坑攻擊來入侵iOS裝置。駭客集團將惡意腳本注入到目標可能瀏覽的網站來載入注入腳本。我們發現他們對入侵網站注入了兩種攻擊：
- 一種是用ScanBox框架來對網站訪客收集資訊，該框架會利用JavaScript記錄按鍵並從客戶端環境收集作業系統、瀏覽器和瀏覽器擴充套件的配置檔案。這個框架通常被用在偵察階段，好了解目標並為下一階段的攻擊做準備。
- 另一種是他們的漏洞攻擊鏈框架，它會攻擊iOS裝置的漏洞。該框架會檢查HTTP請求的User-Agent標頭來判定受害者裝置的iOS版本，並用對應的漏洞攻擊碼來進行回應。如果User-Agent不屬於目標iOS版本之內，則該框架不會送出任何惡意擋案。
在2020年第一季，漏洞攻擊鏈框架升級包含了針對iOS 12.3、12.3.1和12.3.2的新iOS漏洞攻擊碼。其他研究人員也發表了關於此更新漏洞攻擊碼的詳細資訊。
我們自2020年初就開始在多個維吾爾族相關網站觀察到這些注入攻擊。此外，我們也發現到土耳其的新聞網站和政黨網站被入侵並遭遇相同的注入攻擊。最新發展則是我們在2020年3月在台灣的大學網站和旅行社網站發現相同的注入攻擊。這些發展讓人相信Earth Empusa正在擴大其目標範圍。
最佳實作和解決方案
Earth Empusa仍然相當的活躍。隨著駭客集團不斷地開發攻擊目標的新方法，我們也會持續地進行追蹤和監視。
建議iOS的使用者要記得更新系統。此外也建議Android使用者只從受信任來源（如Google Play）安裝應用程式來避免遇到惡意軟體。
使用者還可以安裝如 趨勢科技行動安全防護等能夠封鎖惡意應用程式的安全解決方案。一般使用者可以得益於其多層次安全防護功能來保護裝置擁有者的資料和隱私，並提供能夠抵禦勒索軟體、詐騙網站和身份竊取等威脅的防護功能。
對於企業，趨勢科技的行動安全防護企業版提供了裝置、合規性和應用程式管理，資料保護和設定配置，同時能夠保護裝置抵禦漏洞攻擊，防止對應用程式未經授權的存取以及偵測並封鎖惡意軟體和詐騙網站。趨勢科技的行動應用程式信譽評比服務（MARS）使用業界領先的沙箱和機器學習(Machine learning,ML)技術來涵蓋Android和iOS上的威脅。能夠保護使用者解決惡意軟體、零時差攻擊和已知漏洞攻擊、隱私外洩及應用程式漏洞等問題。
入侵指標
下列的惡意軟體都被偵測為AndroidOS_ActionSpy.HRX。
| SHA256 | 套件名稱 | 標籤 |
| 56a2562426e504f42ad9aa2bd53445d8e299935c817805b0d9b9431521769271 | com.omn.vvi | Ekran |
| b6e2fdbf022cd009585f62a3de71464014edd58125eb7bc15c2c670d6d5d3590 | com.isyjv.klxblnwc.r | 系统优化 |
| de6065c63f05f8cddaec2f43a3789cca7d8e16221bd04bf3ce8092809b146ebe | com.isyjv.klxblnwc.r | 系统优化 |
| 2117e2252fe268136a2833202d746d67bf592de819cc1600ac8d9f2738d8d4d6 | com.isyjv.klxblnwc | Service Runtime Library |
| 588b62a2e0bffa8935cd08ae46255a972b0af4966483967a3046a5df59d38406 | com.isyjv.klxblnwc | Service Runtime Library |
| d6478b4b7f0ea38947d894b1a87baf4bed7a1ece934fff9dfc233610de232814 | com.isyjv.klxblnwc | Service Runtime Library |
| 8d0a123e0fe91637fb41d9d9650a4b9c75b6ce77a2b51ac36f05a337da7afd80 | com.ecs.esap | Service Runtime Library |
| 9bc16f635fde4ff0b6b02b445a706d885779611b7813c5607ab88fdff43fcc2f | com.cd.weixin | VWechat |
| 334dbd15289aaeaf3763f1702003de52ff709515246902f51ee87a41467a8e55 | com.android.dmp.rec | Recording |
| 50c10ab93910a6e617c85a03f8c38a10a7c363e2d37b745964e696da8f98a93d | com.android.dmp.rec | Recording |
| 6575eeda2a8f76170fb6034944eeda5c88dac8009edccc880124fa729dd3c1fd | com.android.dmp.l | Location |
| eff30f6cc2d5d04ce4aef0c50f1fb375fb817a803bf3e8e08c847f04658185ba | com.android.dmp.l | Location |
| a0a48d7e0762ab24b2ec3ec488b011db866992db5392926fe43dd3d1c398e30d | com.android.dmp.cm | Camera |
| 088769a80b39d0da26c676a5a52eaccdb805dc67cba85e562785c375c642b501 | com.android.dmp.c | Core |
| 87306b59aaaba0ea92ea6a05feb9366eeb625e8da08ed3ef6c86a5cf394fada5 | com.android.dmp.c | Core |
| 指摽 | 類型 |
| gotossl.ml | Earth Empusa用的網域 |
| goforssl.top | Earth Empusa用的網域 |
| geo2ipapi.org | Earth Empusa用的網域 |
| appbuliki.com | Earth Empusa用的網域 |
| umutyole.com | Earth Empusa用的網域 |
| t.freenunn.com | Earth Empusa用的網域 |
| start.apiforssl.com | Earth Empusa用的網域 |
| bloomberg.com.cm | Earth Empusa用的網域 |
| static.apiforssl.com | Earth Empusa用的網域 |
| cdn.doublesclick.me | Earth Empusa用的網域 |
| static.doublesclick.info | Earth Empusa用的網域 |
| status.search-sslkey-flush.com | Earth Empusa用的網域 |
| https://114.215.41.93/ | ActionSpy的C&C網址 |
| https://static.doubles.click:8082/ | ActionSpy的C&C網址 |
MITRE ATT&CK
@原文出處：New Android Spyware ActionSpy Revealed via Phishing Attacks from Earth Empusa 作者：Ecular Xu和Joseph C. Chen（趨勢科技）
