Kit.store part 2

Вступление

Актор kit.store Правило: SplashGif

С каждым днем все больше приложений используют в своих целях сервис Firebase для получения клоакинговых ссылок. Очень удобно, ведь в таком случае не нужно делать отдельный сайт контролирующий этот процесс, тем более что по таким сайтам с легкостью можно сделать яра-правило точно определяющее такие приложения. Однако в конкретном случае взято готовое распространенное решение что затрудняет автоматизированный анализ.

Список приложений:

com.starink.betweenthestars
com.coins.goldandbanana
com.game.dotinmaze
com.sweet.sweetvegas
com.games.pickupfood
com.best.besttoy
com.joyful.jay

Анализ

Анализ трафика с помощью удаленных прокси по типу Charles, MitmProxy или Fiddler не дал никаких результатов. Лишь на реальном устройстве с использованием локального андроид снифера HttpCanary удалось получить цепочку запросов приложения com.coins.goldandbanana, остальные приложения скорее всего уже просто отключены.

Первый запрос идет на сервис Firebase по ссылке firestore.googleapis.com/google.firestore.v1.Firestore/Listen, запрос выглядит следующим образом:

POST /google.firestore.v1.Firestore/Listen h2 Host: firestore.googleapis.com user-agent: grpc-java-okhttp/1.28.0 content-type: application/grpc te: trailers x-goog-api-client: gl-java/ fire/21.7.1 grpc/ google-cloud-resource-prefix: projects/ihor-c8071/databases/(default) x-firebase-client: fire-analytics/17.6.0 fire-installations/16.3.3 fire-fst/21.7.1 fire-rtdb/19.5.0 fire-iid/20.3.0 fire-fcm/20.1.7_1p fire-android/ fire-fn/19.1.0 fire-core/19.3.1 x-firebase-gmpid: 1:244656419620:android:5d83f873e5053611bab9b1 grpc-accept-encoding: gzip

Тело запроса:

�– 'projects/ihor-c8071/databases/(default)kecprojects/ihor-c8071/databases/(default)/documents/GoldAndGifts/c6e8d4df-1e5a-452a-a65c-9969256f7d63"�(

Проблемы с перехватом трафика были скорее всего из-за null-символов в теле запроса которые в среде Windows определяются как завершение строки.

Ответ на такой запрос был следующим:

h2 200 content-disposition: attachment content-type: application/grpc date: Thu, 18 Feb 2021 16:23:48 GMT alt-svc: h3-29=":443"; ma=2592000,h3-T051=":443"; ma=2592000,h3-Q050=":443"; ma=2592000,h3-Q046=":443"; ma=2592000,h3-Q043=":443"; ma=2592000,quic=":443"; ma=2592000; v="46,43"

Œ † cprojects/ihor-c8071/databases/(default)/documents/GoldAndGifts/c6e8d4df-1e5a-452a-a65c-9969256f7d638

fullModelName'Š$samsung SAMSUNG-SM-G930A 8.0.0 N_MR1N nameFŠChttps://kit.store/nobot/311/c6e8d4df-1e5a-452a-a65c-9969256f7d63/ua& bundleIdŠcom.coins.goldandbanana6 appsflyer_uuid$Š!1613665418356-2311112087786561398 user_idš geoŠua version currentTimeR‘©º€‚îà† appsflyeryŠv{"install_time":"2021-02-18 16:23:41.854","af_status":"Organic","af_message":"organic install","is_first_launch":true} responseŠok7 advertise_id'Š$32cd3fb1-639f-47fc-b2d9-ca95a731e6da- timeZone!ŠEastern European Standard Time androidIdŠe8b8b21864717d7a ipŠ46.252.220.153 emulator ’©ºðÇ¼ÿ"’©ºàéÙÕ* !" ·‹þ”ìóî2”©ºØ•ö " ·‹þ”ìóî2”©ºØ•ö

Ответ пришел в формате grpc, но это не помешало увидеть там ссылку https://kit.store/nobot/311/c6e8d4df-1e5a-452a-a65c-9969256f7d63/ua, она и используется в следующем запросе:

GET /nobot/311/c6e8d4df-1e5a-452a-a65c-9969256f7d63/ua h2 Host: kit.store pragma: no-cache cache-control: no-cache upgrade-insecure-requests: 1 user-agent: Mozilla/5.0 (Linux; Android 8.0.0; SAMSUNG-SM-G930A Build/R16NW; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/66.0.3359.126 Mobile Safari/537.36 accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8 accept-encoding: gzip, deflate accept-language: en-US x-requested-with: com.coins.goldandbanana

Ответом на такой запрос будет перенаправление на https://1partners.link/1casino-maxbonus/?refcode=816595b5-2a96-4307-9765-9ac2dd7be705

Таким образом цепочка запросов выглядит так:

Вывод

Результатом анализа приложений от этого актора стало простао, но эффективное Yara-правило:

https://pastebin.com/nmRVRLDr

Пароль: xx7yLFuXvq