XcodeGhost威胁情报分析

最近XcodeGhost的分析很火啊,那个作者真是屌。
0×00 常用工具
之前看到了这篇《疑点披露:Xcodeghost威胁情报》
看到这个分析也比较好玩,自己也来尝试一下,就写了这篇文章。

这个是那篇文章分析出来的域名和身份关联网络。

先介绍一些常用的工具把~
1.whois 是linux下的一个命令,可以用来查找一个域名的信息,包括一些详细的注册信息等等。
还有一些比较好用的whois网站,有一些whois要到域名注册的网站的查询才能查询到一些更加详细的信息,比如godaddy的域名。
https://who.is/
https://who.godaddy.com/
http://whois.icann.org/
http://whois.xinnet.com/
2.dig也是linux下的一个命令,比nslookup什么功能更加强大一些,可以用来做域名解析的分析,可以指定dns服务器来解析ip。
3.http://domainbigdata.com/ 这个网站不错,可以用来查询dns的过期的历史解析。比如一个域名解析了一次之后,他就把原来的解析删除了,比如在这次的XcodeGhost事件中就是,到了9月11号的时候,用来接收信息的主域名init.icloud-analysis.com就没有再解析,服务器也关闭了。
类似的,还有google网页缓存,也是一个利器,服务器上线之后如果被谷歌爬取到会被缓存一段时间,就算网站下线了也能去看到缓存的历史版本。
4.最后就是一些社工库什么的,可以来查询一些关联,比如邮箱,用户名等等,如果能找到一些撞库的信息,那就更能拓展信息关联的网络。

0×01 C&C域名
C&C域名就是用来控制其他的后门的域名,command & control的简写。
XcodeGhost的C&C域名,主要有3个。
http://init.icloud-analysis.com
http://init.crash-analytics.com
http://init.icloud-diagnostics.com

这三个域名是我们的起点,当然现在这些域名都是访问不了,解析也被修改了。只能查询一些whois的信息和历史的解析。
我们来看看他们的whois把~
国内才比较好用的是主站之家whois可以查询邮箱和注册人,比较不错。
站长之家查询icloud-analysis.com
发现是GODADDY的数据,可以看到联系人:registration private这里是被保护起来了。
站长之家查询crash-analytics.com
注册人是这个人andy wang wang ,我们到GODADDY上面去查找一下。
godaddy whois查询
查找crash-analytics.com域名信息:

可以得到一个手机:13276422520
以及一个邮箱:778560441@qq.com
邮箱是比较有用的,因为XcodeGhost的作者使用这个邮箱注册了很多域名,我们可以找到一批域名。
我们还可以去看看qq群的信息。可以在一个挑战杯的群里找到他的群备注的济大周文洋。

有可能是济南大学的周文洋。
可以在这里查到一些泄漏过的群信息:qq群泄露
但是这里也不排除可能是一个伪造的,比如去盗取别人的帐号来利用,因为在其他网站上更加常见的是WANG LONG/LONG WANG这个名字。

还可以去看看这些历史的缓存的解析ip
whois缓存查询
做一些ip的关联,ip有一些是在godaddy上的vps服务器。

0×02 qq邮箱关联
用qq邮箱可以查询到XcodeGhost作者注册的域名。
whois邮箱查询
whois邮箱查询-站长之家

可以用这两个查询到一些域名。
这里面大致可以分为两类:新网域名和GODADDY域名

这是在新网注册的域名
2shoubang.com
bang2shou.com
madou360.com
91meiche.com
gu2shou.com
tiao2shou.com
kytr.pub

这些是在GODADDY上注册的
iostool.com
sdkdev.net
daimaku.net
allsdk.org
ioscode.org
sdkdev.org
iossdk.org

新网的域名里:
有一些留有青岛市的电话,但是都是一些混淆视听的电话,比如下面的:
0532-88996513 青岛崂山区教育体育局办公电话
0532-55580550 青岛中韩派出所电话

还有一些注册的公司地址:
山东省青岛市市南区海洋大厦21号
济南市世纪城
青岛市青岛一路

另一方面GODADDY注册的域名:
这一部分是用来做扩散用的,扩散被带入了后门的Xcode。他搭建了一些网站,设置成类似iOS论坛之类的来扩散后门。
比如说iossdk.org这个域名

就是一个被用来扩散Xcode的网站,通过查询google缓存可以发现。
谷歌页面缓存
可以在这里看到当时的html代码,是一个php版本的cms来传播他的Xcode。
有类似行为的还有这两个域名
iostool.com
Iossdk.org

0×03 社工库关联
经常能看到的WANG LONG/ LONG WANG
还有这个手机号13276422520
这个显示是山东青岛的中国联通手机。
REG007

在REG007上面可以查询到,那个审计是注册了挺多个网站的。

可以去社工库里跑跑13276422520。
最后听说可以在社工库里找到13276422520关联的另一个王龙在用的qq号473****@qq.com,可惜我的社工库太小,最后也没有找到,希望有裤子大一些的大牛跑跑13276422520这个。

0×04 总结
第一次尝试做威胁情报分析,感觉和社工很类似。
就是通过一些已知的信息去一步一步扒出更多的信息,最后慢慢补充成一个完整的网络,最后也是了解到了他各个域名的用处,还有身份的一些信息。

一条评论

  1. reeseL 十一月 13, 2015 11:34 上午  回复

    膜拜

reeseL 进行回复 取消回复

*