奇安信X实验室发现一款名为Wpeeper的针对Android系统的后门木马，该恶意软件通过被黑的WORD PRESS站点构建多层级C2架构，并利用Session字段区分请求，HTTPS协议保护网络流量，C2下发的指令使用AES加密并带有椭圆曲线签名。Wpeeper来源于“二次打包”的UPtodown Store应用，通过植入少量代码下载执行恶意ELF，成功躲避安全厂商的检测。该木马具备收集设备敏感信息、文件管理、上传下载以及执行命令等功能。Wpeeper在4月22日突然停止活动，但由于其成功欺骗了所有安全厂商，研究人员认为这可能并非放弃，而是为了提高APK安装量，伺机再次发起攻击。

🌐Wpeeper利用被黑的WORD PRESS站点构建多层级的C2架构，并通过Session字段区分请求，使用HTTPS协议保护网络流量，C2下发的指令使用AES加密并带有椭圆曲线签名，多重手段隐藏其真实C2，增强了隐蔽性和安全性。

🛡️该木马来源于“二次打包”的UPtodown Store应用，攻击者在正常APK中植入少量代码，用于下载执行恶意的ELF，由于新增代码量极少，使得被修改的APK在VT上保持0检测，成功绕过安全检测。

⚠️Wpeeper具备收集设备敏感信息、文件与目录管理、上传下载以及执行命令等后门木马的常见功能，对用户设备构成严重威胁。

⏱️Wpeeper在4月22日突然停止活动，其C2服务器和下载器均不再提供服务。尽管目前原因未知，但考虑到其成功躲避安全厂商检测，可能预示着更大规模的攻击正在酝酿中。

原创 奇安信X实验室 2024-04-29 10:32 云南

2024年4月18日，XLab的未知威胁狩猎系统发现一个VT 0检测的ELF文件正通过2个不同的域名传播，其中

2024年4月18日，XLab的未知威胁狩猎系统发现一个VT 0检测的ELF文件正通过2个不同的域名传播，其中一个域名已被3家安全产商标注为恶意，另一个域名为近期注册且无任何检测，这个异常点引起了我们的注意。经过分析，我们确认此ELF是一个针对Android系统的恶意软件，基于它使用被黑的WORD PRESS站点做为中转C2，我们将其命名为Wpeeper。

Wpeeper是一个针对Android系统的典型后门木马，支持收集设备敏感信息，文件&目录管理，上传&下载，执行命令等诸多功能。Wpeeper最大的亮点在于网络层面，以下3点体现了其作者的用心程度：

依托被黑的WORD PRESS站点构建多层级的C2架构，隐藏真正的C2

使用Session字段区分请求，HTTPS协议保护网络流量

C2下发的指令使用AES加密并带有椭圆曲线签名，防止被接管

Wpeeper来源于“二次打包”的UPtodown Store应用，攻击者向正常的APK中植入了一小段代码用于下载执行恶意的ELF。由于新增的代码量很少，被修改的APK目前在VT上也是0检测。UPtodown 是一个类似Google Play的第3方应用商店，在全球有许多用户，我们认为这是攻击者选择Uptodown的原因之一。由于视野有限，我们尚不得知攻击者是否有其它的选择。

 4月22日，Wpeeper突然停止活动，其C2服务器和下载器均不再提供服务。目前相关的样本仍未被安全厂商检测，可以说它已成功地欺骗了所有安全厂商，没有理由在这个节点选择"退场"，因此我们认为其背后可能有更大的图谋。

关于Wpeeper的此次活动，我们有较为完整的视野。

4月17日Wpeeper首次被上传到VT

4月18日系统告警，开始分析

4月19日开始指令跟踪，收到36个新的C2

4月22日8点31分收到最后一条的指令

最后一条指令，功能号为12，它的作用是删除自身。一开始我们以为是指令跟踪暴露了，但在切换过跟踪IP之后依然没有效果；随后Downloader也不再提供样本下载，整个Campaign似乎突然被按下了停止键。

 Wpeeper的作者为什么要这样做呢？也许他是放弃了，但我们认为还存在这样的可能性：二次打包的APK是Wpeeper后门的下载器，它们都已成功躲避了杀软的检测，但所谓草蛇灰线，只要存在网络活动，那就有可能被发现。当下不如先主动停止网络服务，让APK继续保持杀软眼中的良民身份，先提高APK的安装量，等规模上去之后，就是Wpeeper露出獠牙之时。

关于本文的详细分析，请点击下方的阅读全文

阅读原文