文章总结： 奇安信红雨滴团队披露了针对国产手机的0day间谍活动OperationSouthStar，首次发现ZipperDown漏洞被APT组织在野利用。攻击者通过邮件客户端漏洞，利用路径穿越和代码注入技术窃取敏感数据。攻击主要针对朝鲜地区，技术水平已达1click，甚至可能掌握0click能力。这些攻击活动反映了国家级网络战的现状，各国情报机构利用移动端缺乏普遍检测软件的弱点进行大规模间谍活动。
综合评分： 90
文章分类： 移动安全,漏洞分析,威胁情报,应急响应
Operation South Star:针对国产手机的 0day 间谍活动
原创
红雨滴团队
奇安信威胁情报中心
2025年11月4日 10:00
北京
概述
最近几年，奇安信威胁情报中心红雨滴团队在与东北亚地区的高级 APT 组织进行高强度对抗的过程中，发现了近 20 个涉及国产软件的 0day 漏洞，部分细节我们已经在 Operation DevilTiger[1]、Operation ShadowTiger[2]、XSS 0day+Clickonce[3]等对外报告中披露，实际上来自东北亚地区的 0day 活动远不止在终端侧，我们捕获了多个针对安卓邮件客户端的 0day 攻击，其技术水平已达 1click，且攻击者很可能已掌握如“三角测量”般的 0click 能力。
实际上近 20 个 0day 攻击所涉及的 IOC，涵盖了目前业界命名的多个组织，相互之间均有重叠。在我们视野中，只有少量的 0day（IE、国产浏览器、firefox、foxmail、wps）被用来针对政企。其余大量 0day 都被用于针对东北地区的朝鲜人和与之有往来的中国人，其中就包含本文要披露的几个移动端 0day 事件，本质上是两国三方在东北地区的谍报对抗，属于更高维度的威胁情报，与政企和个人无关。Operation South Star 也可能是 MSMT 合作框架下的取证活动[4]。
Zipperdown 在野利用
ZipperDown 漏洞最早由盘古实验室于 2018 发现，大量 IOS、Android 平台的应用使用开源 ZIP 库，在开发人员没有校验路径的情况下会导致路径穿越漏洞，从而覆盖相关应用组件，实现白加黑的效果。
从 2018 年至今，该漏洞尚未有公开报道显示被 APT 组织在野利用。红雨滴团队是全球首个披露 ZipperDown 漏洞遭 APT 组织在野利用的安全团队。目前相关软件已经修复该漏洞：
攻击者通过给目标手机邮箱应有发送带有漏洞利用的邮件，当受害者在手机上点击邮件时会瞬间触发 Zipperdown，将精心构造的 DAT 文件解包并释放恶意的 so 和 APK 覆盖目标组件应用。
邮件正文多为朝鲜劳动新闻社发布的政治新闻，我们此前有过披露[5]：
2022-2023 载荷
攻击者利用某邮箱安卓版 APP 在处理 IMG 图像时的逻辑漏洞，精心构造符合格式的 DAT 文件，最终触发 Zipperdown，覆盖 app 相关库文件。
APK 覆盖的路径如下：
SO 覆盖的路径如下：
APK 的逻辑较为简单，建立 shell 连接：
so 文件则是魔改了正常的库文件 libttmplayer_lite.so，保留正常的视频解码功能，插入了一段下载者逻辑：
使用特定 UA 请求 C2 服务器，获取第二阶段命令并执行：
打包 databases 目录下的 sqlite 库，通过 toybox nc 命令传输到 C2 服务器上。由于覆盖了正常库文件，受害者后续每次启动 APP 都会执行该下载者逻辑，攻击者可以随时更换 C2 上的命令。
2024-2025 载荷
2024 年之后攻击者替换了这套武器的载荷，替换的库名为 libpanglearmor.so。
so 的逻辑为下载者：
从远程服务器下载 APK 特马并且内存加载。AndroidManifest.xml 文件定义了一个后台服务，入口点为 com.example.backservice.MainActivity
其功能为执行 BackClass().Register()。
BackClass 类内置了 C2:
会定期从 “/command 获取指令，并将指令结果发送到 /result，首次注册会访问 /victim 获取标识符
设置一个线程，定期上报设备连接的 WIFI 信息。
指令功能如下：
- passive_interval ：设置每次上报 wifi 信息的间隔时间
- files_dir ：获取内部文件目录 ctx.getFilesDir
- health ：心跳包
- active_interval ：设置每次获取指令的间隔时间
- upload ：功能同 write
- cache_dir ：获取 cache 目录 ctx.getCacheDir
- permission ：检查权限
- c2 ：设置新 C2
- ls ：列出指定文件夹下文件信息
- echo ：回显
- exec ：执行新进程
- read ：功能同 download
- time ：获取当前时间
- wifi ：获取设备连接的 wifi 信息
- shell ：功能同 reverse_shell
- write ：写入文件
- external_files_dir ：获取外部文件目录 ctx.getExternalFilesDir
- packages ：获取设备安装的应用信息
- download ：读取文件，将其编码为 base64
- reverse_shell ：启动一个反向 shell 到指定的 IP
- nothing ：返回 ok
邮件结构漏洞
2024 年我们捕获到一个较为复杂的代码注入漏洞，受害者只需要在手机 app 点击恶意邮件即可触发。还是在解析 IMG 图片时没有校验，攻击者构造了四个图片用来闭合邮件正文中插入的恶意 js 代码，拼成四行 js。
功能是寻找第一个 IMG 图像，将其插入正文的 HTML 中，第一个 IMG 图像中包含 base64 编码后的 js 代码，插入正文后会默认运行，从而实现执行任意 js 代码的效果：
在 JS 代码中实现网络请求的方法同样是构造一个 IMG 图片，并将其插入到 HTML 正文中。为了从当前的 js 域直接访问读取手机文件，攻击者找到了一个从未公开过的内部接口，localfile 字段可以读取任意目录下的文件，我们不理解为什么几亿用户量的软件会出现这种简单粗暴的内部接口，可能是研发测试？总之攻击者对国产软件的研究非常深入，结合近 20 个 0day 各式各样的触发点，我们甚至怀疑攻击者可能拿到了相关源码。
https://app.XXXXX.XXX.com/?localfile=/data/data/com.XXXXXXX.mail/databases/XXXX
攻击者请求了两个文件，一个是 sqlite 数据库，通过解析相关数据后获取目标账号的 token。
另一个是 app 的 xml 配置文件，包含了该账号的配置信息，包含各类 key。
最后将上述数据 base64 加密后传输给 C2，攻击者最终能窃取用户的登录状态，无需密码登录就能以用户的身份完全操作账户，访问所有邮件、联系人、文件等敏感数据。
我们在安卓模拟器里触发 0day 后抓包截图如下：
总结
经过多年高强度的对抗，这些已被发现的 0day 谍报活动很可能只是国家级网络战的冰山一角，但已经接近当前安全厂商能触及的极限。各国情报机构利用移动端天然缺乏普遍检测软件这一弱点，大规模研发与收购相关攻击武器，严重损害目标国家利益，并在经济与政治层面引发长期不可逆的损害。
IOC
Md5:
0942fbe13e4dca2b451bdf3c6c572078
724ae8064f2fc9c713e0388467c8d6b5
1c1ffd11069765779733dbf8b45015f1
参考链接
[1] https://ti.qianxin.com/blog/articles/operation-deviltiger-0day-vulnerability-techniques-and-tactics-used-by-apt-q-12-disclosed-cn/
[2] https://ti.qianxin.com/blog/articles/the-tiger-of-the-forest-entrenched-on-foyan-mountain/
[3] https://ti.qianxin.com/blog/articles/clickonce-group-combines-0day-and-clickonce-technology-to-carry-out-espionage-activities-cn/
[4] https://msmt.info/Publications/detail/MSMT%20Report/4221
[5] https://mp.weixin.qq.com/s/5rDjDrfEZUsB1XAR-SvBtA
点击阅读原文至ALPHA 8.3
即刻助力威胁研判
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：奇安信威胁情报中心 红雨滴团队《Operation South Star:针对国产手机的 0day 间谍活动》