The first part will focus on opening a couple of links and to search for them using different methods (filesystem dump, backup and sysdiagnose), while the second part will be focused on the creating a binary which was previously used by malware.
第一部分将侧重于打开几个链接并使用不同的方法（文件系统转储、备份和系统诊断）搜索它们，而第二部分将侧重于创建以前被恶意软件使用的二进制文件。
We will use mvt
我们将与文件系统转储以及备份一起使用 mvt 。此外，我们将了解如何使用 sysdiagnose dump 搜索相同的信息。
Visiting Malicious URLs 访问恶意网址
The URLs we will use:
我们将使用的 URL：
Mvt
mvt-ios download-iocs
在使用这两种方法中的任何一种之前，我们首先需要下载 mvt 的 IOC。我们可以使用 mvt-ios download-iocs 命令来做到这一点。
Operation Triangulation, KingSpawn and Pegasus
我们可以看到，我们已经下载了用于 Operation Triangulation、KingSpawn 和 Pegasus 等恶意软件的 IOC
Filesystem Dump 文件系统转储
ssh to dump the filesystem followed by the mvt-ios check-fs
我们将使用的第一种方法是文件系统转储。我们可以用来 ssh 转储文件系统，然后 mvt-ios check-fs 实际分析转储。
dump, directory and extracted the filesystem dump to that directory.
文件系统转储完成后，我们创建 dump 了 ，目录并将文件系统转储解压缩到该目录。
All we have to do now is run mvt-ios check-fs against this directory along with the directory where mvt will store its output (-o
我们现在要做的就是针对此目录以及 mvt 将存储其输出的目录（ -o 标志）运行 mvt-ios check-fs 。
A bit down the output, we can see that it has matched URL http://youintelligence.com domain against Pegasus’ domain name indicator youintelligence.com from the records inside of Favicons.db
一旦 mvt 启动，我们可以看到它已经加载了所有以前下载的 IOC。在输出稍下方，我们可以看到它已将 URL http://youintelligence.com 域与 Pegasus 的域名指示器匹配，youintelligence.com Favicons.db 从数据库内的记录中。
History.db
之后，mvt从 History.db Safari的历史文件中提取了记录。
mvt has indeed found all these malicious URLs which are known IOC for Pegasus malware. Once mvt finishes, we can go to the directory we have passed with output flag and examine its content. One of the most useful files in there is timeline_detected.csv
我们可以看到，确实找到了所有这些恶意 URL， mvt 这些 URL 是 Pegasus 恶意软件的已知 IOC。一旦 mvt 完成，我们就可以转到我们传递的带有输出标志的目录并检查其内容。其中最有用的文件之一是 timeline_detected.csv 包含所有匹配 IOC 的时间顺序。
ITunes Backup ITunes 备份
idevicebackup2 from libimobiledevice to do the backup.
在设备未越狱的情况下，我们可以使用备份来分析它们。我们可以使用Finder来备份设备，也可以使用 idevicebackup2 From libimobiledevice 进行备份。
One thing we should keep in mind is that the encrypted backups provide more coverage so we should aim to do just that.
我们应该记住的一件事是，加密备份提供了更多的覆盖范围，因此我们应该致力于做到这一点。
To create the encrypted backup we use idevicebackup2 encryption on PASSWORD
要创建加密备份，我们用于 idevicebackup2 encryption on PASSWORD 打开加密。
idevicebackup2 backup --full PATH_TO_OUTPUT_DIRECTORY
打开加密后，我们可以使用 idevicebackup2 backup --full PATH_TO_OUTPUT_DIRECTORY .在开始实际备份之前，需要创建输出目录。
mvt-ios decrypt-backup
在我们实际分析备份之前，我们首先需要解密它，我们可以将其与 mvt-ios decrypt-backup 命令一起使用，该命令接受用于加密备份的密码以及将存储解密备份的目的地。
mvt-ios check-backup
现在我们已经解密了备份，我们实际上可以使用以下方法 mvt-ios check-backup 对其进行分析
timeline_detected.csv
There are of course more files in there which was the case with the filesystem dump and if we are analysing potentially malicious activity, it is worth checking all of them.
Sysdiagnose
We can trigger the sysdiagnose logs to get collected using the keys combination (holding together Volume Up + Volume Down + Power button). It takes a couple of minutes for the sysdiagnose logs to get generated.
我们可以使用组合键（同时按住音量调高 + 音量调低 + 电源按钮）来触发 sysdiagnose 日志。生成 sysdiagnose 日志需要几分钟时间。
Once the sysdiagnose has finished, we can use ipsw idev crash pull to pull the sysdiagnose logs. We first need to obtain the name of the sysdiagnose log, we can do that using ipsw idev crash ls
一旦 sysdiagnose 完成，我们就可以用来 ipsw idev crash pull 拉取 sysdiagnose 日志。我们首先需要获取 sysdiagnose 日志的名称，我们可以使用 ipsw idev crash ls 命令来做到这一点。
ipsw idev crash pull
一旦我们获得了名称，我们只需将其 ipsw idev crash pull 传递给
Once the logs are downloaded, we can extract the archive and start analysing it.
下载日志后，我们可以提取存档并开始分析它。
We will grep over all files present inside the sysdiagnose logs, but we won’t be able to find any of the URL IOCs. The reason for that is that the sysdiagnose does not contain the user data and browser history and URLs it has visited belong to user data not the system.
我们将遍历 sysdiagnose 日志中存在的所有文件，但我们将无法找到任何 URL IOC。原因是 sysdiagnose 不包含用户数据和浏览器历史记录，它访问过的 URL 属于用户数据，而不是系统。
Running Malicious Binary
Now we will create a binary with the same name that was used in one of the known malware samples.
现在，我们将创建一个二进制文件，其名称与其中一个已知恶意软件示例中使用的名称相同。
The binary will be simple and it will have the following functionalities:
二进制文件将很简单，它将具有以下功能：
-
we will name it subridged and place it to
/private/var/db/com.apple.xpc.roleaccountd.staging/as it was used in KingSpawn
我们将它命名为 subridged，并将其放置在/private/var/db/com.apple.xpc.roleaccountd.staging/KingSpawn 中使用的位置 -
it will be run as
rootuser; otherwise delete itself
它将以用户身份root运行;否则删除自身 -
edit /etc/hosts so that it resolves to our Mac address instead of utilising DNS
编辑 /etc/hosts，使其解析为我们的 Mac 地址，而不是使用 DNS -
periodically dump the
History.dbfile and send it to8ksecmail.io(points to our own Mac IP address)
定期转储History.db文件并将其发送到8ksecmail.io（指向我们自己的 Mac IP 地址）
To simulate the web server, we will use the following HTTP response and use netcat to server it:
为了模拟 Web 服务器，我们将使用以下 HTTP 响应并使用 netcat 来服务器：
History.db
二进制文件成功与我们联系后，我们将看到 History.db 文件的 base64 表示形式正在发送给我们。
Mvt
Filesystem Dump & ITunes Backup
文件系统转储和 ITunes 备份
command: mvt-ios check-fs ./dump/ -o /tmp/mvt-fs 命令： mvt-ios check-fs ./dump/ -o /tmp/mvt-fs
Once the Filesystem has been loaded, we can see that the malicious binary we have created and placed on the location has been identified as one of IOC from KingSpawn
加载文件系统后，我们可以看到我们创建并放置在该位置的恶意二进制文件已被识别为 KingSpawn 的 IOC 之一，这非常出色。
Cache.db file for the subridged
查看子层的 Cache.db 文件，我们可以看到发出 HTTP 请求的 IP 地址以及它得到的响应。
We will now do the same against the backup file.
我们现在将对备份文件执行相同的操作。
command: 命令： mvt-ios check-backup /tmp/mvt-decrypted-backup -o /tmp/mvt-for-backup
Filesystem module of mvt so we did not have luck with this one.
我们可以看到的是，备份没有找到我们的“恶意”二进制文件的匹配项，因为这些检查是 mvt 文件系统模块的一部分，所以我们没有运气。
Even though the subridged is present inside of osaanalytics.addaily.plist
即使 subridged 存在于 osaanalytics.addaily.plist 文件中，也不足以触发检测。
: as mvt-ios was stripping the “/“ from the start of filename, we have to hack it a bit because otherwise it would never match our IOC (/private/var/db/com.apple.xpc.roleaccountd.staging/
注意：由于 mvt-ios 从文件名的开头剥离了“/”，我们必须对其进行一些修改，否则它永远不会与我们的 IOC 匹配 （ /private/var/db/com.apple.xpc.roleaccountd.staging/ ）。这可能不是正确的解决方案，但在我们的例子中确实如此。
Sysdiagnose 系统诊断
subridged
在获得 sysdiagnose 日志后，我们可以尝试 grepping 这个词 subridged 。如下图所示，我们有很多比赛。
subridged is the name of the legitimate iPhone process, we can take a look at ps.txt file which contains the list of running processes in order to get PID of our subridged process which in our case is 7749
因为 subridged 是合法iPhone进程的名称，我们可以查看 ps.txt 包含正在运行的进程列表的文件，以获取进程 subridged 的PID，在我们的例子中是 7749.
We can now do the further analysis, such as taking a look at all the threads or its task info (taskinfo.txt
我们现在可以进行进一步的分析，例如查看所有线程或其任务信息 （ taskinfo.txt ） 文件。
Conclusion 结论
This marks the end of our second blog post on the iOS Malware Detection part as a part of our Mobile Malware Series. We have seen how we can utilise mvt (both filesystem dump on the jailbroken device and iTunes backup on nonjailbroken device) as well as sysdiagnose how can be used on both of them. As you can see, each of these three have their pros and cons and what to use depends on your possibilities, for example sometimes you cannot jailbreak the device and you need to resort to the iTunes backup and sysdiagnose which can sometimes miss a couple of useful artefacts.
这标志着我们关于 iOS 恶意软件检测部分的第二篇博文的结束，该部分作为我们的移动恶意软件系列的一部分。我们已经看到了如何利用 mvt（越狱设备上的文件系统转储和非越狱设备上的 iTunes 备份）以及如何在两者上使用 sysdiagnose。如您所见，这三者中的每一个都有其优点和缺点，使用什么取决于您的可能性，例如，有时您无法越狱设备，您需要求助于iTunes备份和系统诊断，这有时会错过一些有用的人工制品。
原文始发于8ksecresearch：Mobile Malware Analysis Part 5 – Analyzing An Infected Device
转载请注明：Mobile Malware Analysis Part 5 – Analyzing An Infected Device | CTF导航
相关文章
