17、恶意软件命令与控制通信解密分析

恶意软件命令与控制通信解密分析

1. 恶意软件通信分析概述

在对恶意软件进行逆向工程时，其与命令与控制服务器的加密通信是非常重要的研究点。破解加密有助于我们更好地理解它所支持的命令。这里我们采用动态分析方法，使用到的工具包括 tcpdump 、 logcat 和 Frida 。

通过 tcpdump 和 Wireshark 分析可知，恶意软件的首次连接是向 http://simpleyo5.tk/ping 发送 HTTP POST 请求，请求中包含一个有四个条目的 JSON 对象：

{
    "hash": "c9KjsZ9C7He6VRmwPMY9YpRrW8H9UFIITKB7umfOUyo=",
    "id": "9hbTqZU/XYXD8Z1hftmY0N63NltNY2+ihQOnUHrg9T1B/C...",
    "iv": "M0KcSRwOMvKnbNd4TE719Q==",
    "type": "request_verify"
}

目前还不清楚这些值的具体含义。其中 "type": "request_verify" 表明此次连接的目的是请求验证恶意软件客户端。 id 原本长度超过 7000 字节，可能是消息的主要负载。 hash 和 iv 的值目前未知，