搜索

[10289] 2016-07-11_躲不掉的红色炸弹，这次真的「爆」了

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-07-11_躲不掉的红色炸弹，这次真的「爆」了 躲 不 掉 的 红 色 炸 弹 ， 这 次 真 的 「 爆 」 了 e x p s k y   F r e e B u f   2 0 1 6 - 0 7 - 1 1 声 明 ： 本 文 由 【 M S 5 0 9   T e a m 】 成 员 e x p s k y 原 创 ， 仅 用 于 技 术 交 流 分 享 ， 禁 止 将 相 关 技 术 应 用 到 不 当 途 径 。 收 到 朋 友 的 婚 宴 请 帖 后 通 常 都 要 破 费 ， 而 且 不 便 躲 避 ， 所 以 请 帖 也 俗 称 红 色 炸 弹 ， 而 这 次 的 红 色 炸 弹 真 的 就 爆 了 ！ 收 到 朋 友 的 婚 宴 请 帖 后 通 常 都 要 破 费 ， 而 且 不 便 躲 避 ， 所 以 请 帖 也 俗 称 红 色 炸 弹 ， 而 这 次 的 红 色 炸 弹 真 的 就 爆 了 ！ 上 面 是 发 生 在 本 月 的 一 条 短 信 ， 如 果 你 从 朋 友 那 里 收 到 如 上 这 样 一 条 短 信 ， 点 击 里 面 的 电 子 请 帖 链 接 ， 会 下 载 一 个 A P K 软 件 ， 如 果 继 续 点 击 了 这 个 A P K 文 件 而 且 你 又 是 安 卓 手 机 的 话 ， 那 么 你 真 的 中 弹 了 。 0 × 0 1   样 本 逆 向 分 析 样 本 逆 向 分 析 逆 向 了 该 手 机 木 马 样 本 绝 大 部 分 功 能 ， 让 我 们 一 起 来 看 下 红 色 炸 弹 是 怎 么 爆 炸 的 。 反 编 译 出 来 的 代 码 经 过 了 混 淆 ， 木 马 主 要 功 能 就 在 这 些 没 有 函 数 符 号 名 混 淆 了 的 代 码 里 。 1 ） ） 窃 取 用 户 短 信 和 通 讯 录 数 据 窃 取 用 户 短 信 和 通 讯 录 数 据
这 些 配 置 信 息 主 要 包 括 ： 用 于 远 程 控 制 的 手 机 号 码 、 接 收 受 害 者 联 系 人 和 短 信 隐 私 数 据 的 邮 箱 帐 号 和 密 码 、 木 马 存 活 的 截 至 日 期 （ 超 过 截 至 日 期 后 ， 木 马 将 不 再 工 作 ） ， 另 外 还 有 很 多 布 尔 值 的 状 态 参 数 ， 比 如 是 否 已 经 发 送 过 联 系 人 和 短 信 数 据 ， 是 否 已 激 活 设 备 管 理 器 权 限 等 。 获 取 D e v i c e I d 、 型 号 、 系 统 版 本 等 手 机 设 备 信 息 。 接 下 来 就 是 样 本 的 主 功 能 ， 首 先 是 窃 取 短 信 和 联 系 人 数 据 ：
2 ） 启 动 名 为 ） 启 动 名 为 c o m . p h o n e . s t o p 6 . s e r v i c e . B o o t S e r v i c e 的 服 务 ， 劫 持 短 信 的 服 务 ， 劫 持 短 信
解 析 远 控 短 信 命 令 ：
短 信 钩 子 函 数 首 先 判 断 收 到 的 短 信 是 否 来 自 于 攻 击 者 的 手 机 ， 如 果 是 来 自 攻 击 者 则 解 析 远 控 命 令 （ 远 控 命 令 以 空 格 分 为 多 个 字 段 ， 第 一 个 字 段 为 命 令 控 制 字 ， 后 面 为 命 令 参 数 ） 。 如 果 短 信 不 是 来 自 攻 击 者 ， 则 根 据 设 置 的 监 听 等 级 来 判 断 是 否 将 短 信 转 发 给 攻 击 者 短 信 远 控 命 令 有 三 个 ： 短 信 远 控 命 令 有 三 个 ： 命 令 命 令 L J ： 配 置 短 信 监 听 等 级 ， 参 数 ： 配 置 短 信 监 听 等 级 ， 参 数 A L L 表 示 全 部 监 听 ； 参 数 表 示 全 部 监 听 ； 参 数 S O M E 表 示 部 分 监 听 ； 参 数 表 示 部 分 监 听 ； 参 数 N O 表 示 不 监 听 表 示 不 监 听 命 令 命 令 L O O K ： 参 数 ： 参 数 T I M E 表 示 查 询 初 始 设 置 的 木 马 存 活 期 限 ； 参 数 表 示 查 询 初 始 设 置 的 木 马 存 活 期 限 ； 参 数 P H O N E 表 示 查 询 手 机 的 表 示 查 询 手 机 的 D e v i c e I d ， 系 统 版 本 等 设 备 ， 系 统 版 本 等 设 备 信 息 信 息 命 令 命 令 S E N D ： 控 制 受 害 者 手 机 发 送 短 信 ， 参 数 ： 控 制 受 害 者 手 机 发 送 短 信 ， 参 数 1 为 发 送 到 的 手 机 号 ， 参 数 为 发 送 到 的 手 机 号 ， 参 数 2 为 发 送 的 短 信 内 容 为 发 送 的 短 信 内 容 为 了 让 接 收 远 控 短 信 神 不 知 鬼 不 觉 ， 会 设 置 手 机 静 音 并 关 闭 震 动 ， 而 且 会 删 除 掉 攻 击 者 发 来 的 远 控 短 信
3 ） 木 马 主 要 行 为 流 程 ） 木 马 主 要 行 为 流 程 0 × 0 2   木 马 的 技 术 对 抗 、 诱 骗 行 为 木 马 的 技 术 对 抗 、 诱 骗 行 为 除 了 前 面 提 到 的 木 马 会 隐 藏 桌 面 图 标 ， 关 闭 震 动 并 静 音 ， 加 密 配 置 文 件 外 还 有 多 种 技 术 对 抗 和 诱 骗 行 为 1 ） 通 过 诱 骗 受 害 者 激 活 设 备 管 理 器 ， 并 利 用 设 备 管 理 器 的 漏 洞 ， 实 现 无 法 卸 载 ） 通 过 诱 骗 受 害 者 激 活 设 备 管 理 器 ， 并 利 用 设 备 管 理 器 的 漏 洞 ， 实 现 无 法 卸 载
利 用 设 备 管 理 器 漏 洞 ： 继 承   D e v i c e A d m i n R e c e i v e r   重 写   o n D i s a b l e R e q u e s t e d 函 数 ， 返 回 恐 吓 信 息 ， 使 取 消 激 活 对 话 框 弹 出 ， 再 通 过 切 换 A c t i v i t y 使 用 户 无 法 操 作 该 对 话 框 ， 就 无 法 取 消 激 活 ， 从 而 达 到 无 法 卸 载 A P P 的 目 的 2 ） 木 马 运 行 后 ， 隐 藏 了 桌 面 图 标 ， 再 弹 出 欺 骗 信 息 ， 误 导 用 户 以 为 ） 木 马 运 行 后 ， 隐 藏 了 桌 面 图 标 ， 再 弹 出 欺 骗 信 息 ， 误 导 用 户 以 为 A P P 并 未 安 装 并 未 安 装 3 ） 如 果 用 户 尝 试 卸 载 ） 如 果 用 户 尝 试 卸 载 A P P ， 弹 出 欺 骗 信 息 后 终 止 卸 载 ， 弹 出 欺 骗 信 息 后 终 止 卸 载
4 ） 发 送 给 木 马 作 者 的 短 信 中 ， 过 滤 掉 敏 感 字 眼 ， 增 强 隐 蔽 性 ） 发 送 给 木 马 作 者 的 短 信 中 ， 过 滤 掉 敏 感 字 眼 ， 增 强 隐 蔽 性 5 ） 加 密 密 钥 多 次 拼 接 ， 增 强 密 钥 隐 蔽 性 ） 加 密 密 钥 多 次 拼 接 ， 增 强 密 钥 隐 蔽 性 6 ） 动 态 获 取 敏 感 ） 动 态 获 取 敏 感 A P I ， 避 免 安 全 软 件 静 态 扫 描 ， 避 免 安 全 软 件 静 态 扫 描 0 × 3   危 害 性 危 害 性
收 信 的 邮 箱 账 号 和 密 码 虽 然 经 过 了 加 密 后 保 存 到 配 置 文 件 里 ， 但 仍 然 可 以 逆 向 分 析 出 原 始 的 收 信 邮 箱 账 号 密 码 把 信 收 下 来 ， 可 以 发 现 大 量 的 受 害 者 隐 私 数 据
攻 击 者 远 程 控 制 受 害 者 的 手 机 继 续 群 发 木 马 链 接 ， 实 现 蠕 虫 似 传 播 。 可 以 构 想 ， 攻 击 者 通 过 筛 选 银 行 余 额 信 息 ， 挑 选 “ 优 质 ” 诈 骗 对 象 ， 对 其 隐 私 聊 天 信 息 进 行 深 入 了 解 后 ， 实 施 定 向 诈 骗 ， 成 功 率 和 收 益 都 会 大 幅 提 高 （ 木 马 作 者 可 以 远 程 控 制 双 方 互 发 精 心 构 造 的 短 信 内 容 ， 屏 蔽 掉 指 定 短 信 ） 。 0 × 0 4   追 踪 溯 源 追 踪 溯 源 通 过 反 查 ， 查 到 该 邮 箱 下 还 注 册 大 量 的 域 名 ， 通 过 黑 帽 S E O ， 制 作 了 多 种 类 型 的 钓 鱼 网 站 ， 诈 骗 网 站 。 招 嫖 欺 诈 网 站 ： 招 嫖 欺 诈 网 站 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理