[iOS] FairPlay DRM 복호화

개요

iOS 앱을 진단을 하기 위해선 별도의 iPA 파일을 전달받아 분석을 하거나 그렇지 못할 경우 서비스에 등록되어 있는 앱 스토어에서 직접 다운로드하여 진행해야 되는 경우가 있습니다. 직접 전달받으면 문제가 없지만 앱 스토에서 내려받을 경우에는 앱 내부의 코드 및 데이터를 보호하기 위한 "FairPlay Code" 암호화가 적용되어 있는데 암호화된 바이너리 파일은 커널의 "Match-O"로더에 의해 런타임 중에 해독이 됩니다. 결론적으로 앱 스토에서 받은 앱의 리버싱 과정을 거치기 위해선 사전에 복호화 작업을 진행해야 된다는 것입니다.

 

otool -l Binaryname | grep -A4 LC_ENCRYPTION_INFO

otool을 통해 앱의 FairPlay DRM 여부를 확인해보면 "cyptid: 0" 항목이 보입니다. 이는 암호화가 되어 있지 않다는것을 의미하기에 해당 파일을 로컬로 추출하여 바로 분석이 가능합니다.

 

Windows 환경

앱을 복호화 하기 위해선 대표적으로 "Class-dump, CrackerXI, frida-ios-dump"가 존재합니다. 저는 보통 CrackerXI를 사용하거나 frida-ios-dump를 통해 복호화를 진행하고 있습니다.

https://github.com/AloneMonkey/frida-ios-dump

GitHub - AloneMonkey/frida-ios-dump: pull decrypted ipa from jailbreak device

 

다운로드 후 내부 경로로 이동하여 실질적으로 사용되는 dump.py 와 필수 설치 명령어들이 담긴 requirements.txt 파일이 확인됩니다.

 

pip install -r requirements.txt –upgrade

위의 명려어를 통해 필수 명령어들을 설치합니다.

 

설치 후 USB를 연결하여 디바이스 내부의 앱 리스트들을 출력해주는지 확인해주시고 Google Maps를 대상으로 테스트를 해보도록 하겠습니다.

 

https://code.google.com/archive/p/iphonetunnel-usbmuxconnectbyport/downloads

Google Code Archive - Long-term storage for Google Code Project Hosting.

이제 위의 경로로 넘어가 로컬 PC에 터널링을 진행해줄 iTUNNEL을 설치해주셔야 됩니다. itunnel_mux_rev71 파일을 다운로드해주시면 위처럼. exe파일이 확인되면 됩니다.

 

itunnel_mux.exe --iport 22 --lport 2222

.exe 경로로 이동하여 사전에 사용 중인 SSH 22번 포트와 추가적으로 로컬 포트 2222를 지정해 주시면 됩니다.

 

만약 에러가발생할 경우 아래의 파일을 추가적으로 설치해주시기 바랍니다. 보통 iTunes드라이버 관련 문제나 복호화 진행 시 윈도우 환경의 문제(chmod, ls 명령어 등)로 인해 발생됩니다.

1. "iTunesDriver64_0205.exe" 검색 후 설치

2. gow설치(https://github.com/bmatzelle/gow/releases/download/v0.8.0/Gow-0.8.0.exe)

 

C:\Users\{지정한 사용자 이름}\AppData\Local\Temp

만약 드라이버와 gow를 모두 설치했는데도 에러가 발생한다면 터미널 창을 닫은 후 다시 시도해 보시고 해당 경로를 타고 넘어가 "Payload"라는 잔여 디렉토리가 있는지 확인해주시고 삭제합니다.

 

python dump.py com.google.Maps

이제 dump.py 파일을 활용하여 DRM 복호화 작업을 시작해주시면 됩니다. 로딩 바가 100%가 될때까지 기다려주세요

 

복호화 작업이 모두 완료되면 위처럼 제일 하단 콘솔에 "Generating "Google Maps.ipa" 라는 문구가 출력됩니다.

 

FairPlay DRM 복호화가 작업된 ipa파일은 현재 디렉토리인 frida-ios-dump-master 폴더 안에. ipa 확장자로 생성됩니다. 이제 해당 파일의 압축을 해제해보겠습니다.

 

압축 해제 폴더로 들어가보면 기존에 암호화된 바이너리가 모두 복호화되어 나타납니다. 추가적으로 로직을 분석 후 작동 방식, 내부 클래스 구조를 확인하시면 됩니다.

 

Linux 환경

윈도우 환경에서 진행한 것처럼 frida-ios-dump 페이지에서 리눅스 환경으로 Clone 하여 다운로드해주시면 됩니다.

 

확장자가 “zip”인 파일이 다운로드된것을 확인하고 "unzip" 해주시면 dump.py 나 requirements.txt가 있던 폴더가 나타납니다.

 

frida-ios-dump 파일 내부에 존재하는 dump.py 파일은 파이썬 3.x 버전에서 동작합니다. Kali Linux에는 python2.x 과 3.x 버전이 공존하므로 명령어 실행 시 python3로 명시하여 실행하거나 Linux용 anaconda 환경을 구축하여 사용하시면 됩니다.

 

# sudo apt update && sudo apt install python3-pip
# sudo pip3 입력하여 설치확인
# pip3 install -r requirements.txt => 리눅스에 anaconda 없이 그냥 설치하고자 할 경우 pip3 명시

만약 리눅스 환경에서 "pip" 명령어가 없다고 나올경우 위의 명령어를 우선적으로 선언하여 pip사용을 확보 후 requirements.txt를 설치합니다.

 

# apt install libusmuxd-tools

윈도우 환경에서 itunnel을 사용했다면 리눅스에서는 “iproxy”를 사용합니다. 하지만 현재 패키지가 닫혔기 때문에 apt install iproxy 할 경우 존재하지 않는다고 나타난다.

 

설치를 마쳤다면 itunnel에서 했던 것과 마찬가지로 iPHONE에 열리 22번 포트를 로컬 2222 포트로 터널링을 진행합니다.

iPHONE 단말을 연결하면 아래와 같은 팝업창이 나타난다. 하단의 “Connect to a virtual machine”으로 선택 후 자신의 가상 이미지에 연결시키면 디렉토리 리스트에 “iPhone”이 나타납니다.

 

Kali Linux와 iPhone이 정상적으로 attaching 되었는지 확인하기 위해 앱에 설치된 리스트를 확인하는 명령어를 입력해봅니다.

 

바이너리 파일이 한글로 되어있을 경우 윈도우 환경에서 복호화 시 “액세스가 거부되었습니다.” 등 기타 에러가 다양하게 발생하는데, 이럴때는 Linux환경에서 Dump를 진행하면 에러 없이 복호화할 수 있습니다.

 

iproxy에서 출력 문구가 생성되면서 대상 앱에attach 된 것을 확인할 수 있습니다.

 

복호화된 ipa파일이 생성된 것을 확인했으면 이제 로컬 PC로 옮겨 분석을 진행해주시면 됩니다. 정상적으로 복호화가 되었는지 확인하기 위해선 내부에 존재하는 다양한 클래스명이 어떻게 나타나는지 확인해보시면 됩니다. 만약 클래스명이 대량의 문자열로 식별이 힘들게끔 되어 있다면 복호화가 제대로 이루어지지 않은 것이라 볼 수 있습니다.