🔴 نسخه جدید RedHook؛ سوءاستفاده هوشمندانه از قابلیت‌های قانونی اندروید

شرکت Group-IB در جدیدترین گزارش خود نسخه به‌روزشده بدافزار اندرویدی RedHook را تحلیل کرده است. برخلاف چیزی که ممکن است از تیتر مقاله برداشت شود، این بدافزار از یک آسیب‌پذیری (Exploit) جدید استفاده نمی‌کند؛ بلکه با زنجیره‌ای از قابلیت‌های کاملاً قانونی اندروید، سطح دسترسی خود را به شکل قابل‌توجهی افزایش می‌دهد.

سناریوی حمله به این صورت است که ابتدا کاربر را با صفحات فیشینگ و رابط‌های کاربری جعلی فریب می‌دهد تا برنامه را نصب کرده و مجوز Accessibility Service را فعال کند. پس از آن، بدافزار با استفاده از همین مجوز، به‌صورت خودکار وارد تنظیمات دستگاه شده، Developer Options را فعال می‌کند، Wireless ADB Debugging را روشن کرده و فرآیند Pair شدن را نیز بدون نیاز به رایانه انجام می‌دهد.

در ادامه، RedHook با استفاده از پروژه متن‌باز Shizuku یک ADB Client را روی خود دستگاه اجرا کرده و به ADB Daemon از طریق آدرس 127.0.0.1 (Loopback) متصل می‌شود. نتیجه این فرآیند، اجرای یک پردازه با Shell UID (2000) است که امکان استفاده از برخی APIهای محافظت‌شده، اجرای دستورات Shell، تغییر برخی تنظیمات سیستمی و اعطای مجوزهای حساس به خود بدافزار را فراهم می‌کند.

علاوه بر این، RedHook از مکانیزم‌های مختلفی برای ماندگاری (Persistence) استفاده می‌کند؛ از جمله One-Pixel Activity، WakeLock، پخش صدای بی‌صدا، احیای متقابل سرویس‌ها (Cross-Process Resurrection) و اجرای خودکار پس از راه‌اندازی مجدد دستگاه.

در مجموع، نوآوری اصلی این بدافزار کشف یک روش نفوذ جدید نیست، بلکه خودکارسازی کامل زنجیره سوءاستفاده از Accessibility، Wireless ADB و Shizuku برای رسیدن به دسترسی‌های سطح Shell است؛ موضوعی که نشان می‌دهد قابلیت‌های توسعه‌دهندگان اندروید نیز می‌توانند در صورت سوءاستفاده، به ابزارهای قدرتمند مهاجمان تبدیل شوند.

📖 مقاله کامل:
https://www.group-ib.com/blog/redhook-android-rat-upgraded/

#Android #AndroidSecurity #Malware #RedHook #RAT #ADB #WirelessADB #Accessibility #Shizuku #ThreatIntelligence #ReverseEngineering #CyberSecurity

📢 @androidSec_fa