搜索

[10618] 2016-10-18_谁给了你第一个手机病毒？安卓手机病毒来源分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-10-18_谁给了你第一个手机病毒？安卓手机病毒来源分析 谁 给 了 你 第 一 个 手 机 病 毒 ？ 安 卓 手 机 病 毒 来 源 分 析 猎 豹 移 动 安 全   F r e e B u f   2 0 1 6 - 1 0 - 1 8 用 户 手 机 的 第 一 个 病 毒 从 何 而 来 ？ 这 篇 文 章 也 许 能 给 你 答 案 。 用 户 手 机 的 第 一 个 病 毒 从 何 而 来 ？ 这 篇 文 章 也 许 能 给 你 答 案 。 新 应 用 安 装 概 况 新 应 用 安 装 概 况 在 用 户 下 载 安 装 应 用 之 时 ， C l e a n   M a s t e r 会 对 下 载 的 文 件 进 行 安 全 扫 描 ， 仅 从 C l e a n   M a s t e r 扫 描 数 据 来 看 ， 几 乎 每 天 都 有 上 千 万 次 的 应 用 安 装 行 为 。 应 用 的 安 装 来 源 分 布 如 下 图 二 所 示 。 据 统 计 ， 约 有 1 / 3 的 应 用 是 在 用 户 未 设 置 i n s t a l l e r 的 情 况 下 安 装 的 。 这 意 味 着 这 些 应 用 的 来 源 无 法 被 监 控 ， 也 就 是 下 图 二 中 的 ‘ 未 知 ’ 来 源 。 绝 大 部 分 手 机 病 毒 都 隐 藏 在 这 部 分 ‘ 未 知 ’ 来 源 的 应 用 中 。 主 要 安 装 源 中 病 毒 相 关 的 行 为 ： 主 要 安 装 源 中 病 毒 相 关 的 行 为 ： 1 .     G o o g l e P l a y 安 装 源 ： 安 装 源 ：         自 动 / 网 页 广 告 / 用 户 解 锁 / 点 击 弹 出 的 广 告 等 来 打 开 G o o g l e   P l a y 市 场 到 指 定 的 推 广 a p p 页 面 ， 诱 导 下 载         打 开 g o o g l e P l a y 模 拟 点 击 ， 自 动 安 装 （ 不 需 r o o t ） 2 .   未 知 安 装 源 ： 未 知 安 装 源 ：
        通 过 色 情 网 页 ， 第 三 方 链 接 等 渠 道 下 载 的 病 毒         病 毒 推 广 安 装 的 a p p         短 信 蠕 虫         手 机 出 厂 预 装 （ 如 赠 品 推 广 、 电 视 广 告 等 形 式 的 山 寨 手 机 ） ‘ 未 知 未 知 ’ 来 源 的 病 毒 应 用 安 装 情 况 来 源 的 病 毒 应 用 安 装 情 况 ‘ 未 知 ’ 来 源 的 应 用 中 含 有 大 量 病 毒 应 用 。 来 自 C l e a n   M a s t e r 的 数 据 显 示 ， 目 前 有 三 种 病 毒 每 天 被 安 装 超 过 1 0 0 0 0 次 。 病 毒 应 用 名 称 病 毒 应 用 名 称 每 天 被 安 装 次 数 每 天 被 安 装 次 数 o r g . m e s s a g e . u p . u p d a t e 1 6 3 7 9 c o m . a n d r o i d . s y s c o r e 1 2 0 9 0 c o m . p o w e r . c o r e . s e t t i n g 1 0 2 2 9 o r g . n d f . s u t 9 0 3 2 c o m . k i y . f r e e w i f i 8 6 6 4 c o m . z s y s c . d w o n l o a d 8 0 6 9 c o m . i m p u p a . h u m . z q 7 4 6 4 c o m . w i t s k i e s . y o y o g o 6 6 3 8 c o m . k a i x u a n 5 8 2 3 c o m . g o o g l e . w e b c p s 4 7 6 4 c o m . a n d r o i d . t o o l s . r e c e i v e r 4 7 1 8 c o m . a n d r o i d . p a t c h s 4 6 4 7 c o m . c o d e a u r o i m . s y s t e m u p d a t e 4 3 8 5 c o m . f u n . l o c k t o u c h 4 1 1 9 c o m . o p . u u j 4 0 6 1 c o m . n t s . g t f . z w t 3 8 1 1 n e t . s m a r t . g a m e 3 6 5 9 c o m . e v i n c e . e x a c t l y . e x c e e d e d 3 4 1 2 h e a r t . c l e a r . l u c k 3 3 1 0 c o m . b c . a n d r o i d . b c t c o r e 3 2 3 3 c o m . b t . w a l l p a p e r s . h d 3 1 9 9 c o m . g o o g l e . a n d r o i d . s y s c p s . m j 3 0 5 8 c o m . f p n q . c l e a n e r 2 9 2 9 c o m . a n d r o i d . a k e y a s s i s t . c 2 8 5 7 表 一   ‘ 未 知 ’ 来 源 病 毒 应 用 安 装 数 量 不 计 算 病 毒 推 广 安 装 的 正 常 a p p ， 只 计 算 被 安 装 的 应 用 为 病 毒 的 数 量 ， 根 据 上 面 的 数 据 与 每 天 安 装 总 量 的 对 比 ， 病 毒 所 占 的 比 例 不 低 于 每 天 安 装 总 量 的 千 分 之 一 。 以 上 病 毒 大 部 分 是 被 谁 推 广 的 ？ 以 上 病 毒 大 部 分 是 被 谁 推 广 的 ？ 我 们 分 析 了 其 中 两 个 主 要 病 毒 推 广 源 c o m . s m s . s y s . m a n a g e r 与 c o m . a l . a l a r m . c o n t r o l l e r ， 它 们 属 于 同 一 家 族 ,           这 些 病 毒 应 用 进 入 用 户 手 机 之 后 ， 会 疯 狂 推 广 安 装 其 他 对 用 户 无 用 的 应 用 。 下 表 是 C l e a n   M a s t e r 统 计 到 的 设 置 了 i n s t a l l e r 的 数 据 。
  图 三 中 所 示 的 两 个 病 毒 每 日 推 广 安 装 其 他 应 用 的 数 量 较 大 。 而 受 这 两 个 病 毒 应 用 最 严 重 的 国 家 是 印 度 ， 超 过 一 半 的 感 染 量 都 在 这 里 。 其 次 是 印 度 尼 西 亚 和 菲 律 宾 ， 可 见 受 灾 最 严 重 的 国 家 主 要 集 中 在 亚 洲 。         病 毒 恶 意 行 为 分 析 病 毒 恶 意 行 为 分 析 遍 历 e l f 运 行 获 取 r o o t 权 限 广 告 推 广 及 其 它 恶 意 a p p 推 广 / s y s t e m / b i n / n i s / s y s t e m / b i n / d a e m o n n i s / s y s t e m / b i n / . d a e m o n / n i s / s y s t e m / b i n / . s r / n i s / s y s t e m / b i n / n d c f g / s y s t e m / b i n / . d a e m o n / n d c f g
这 两 个 样 本 每 天 的 推 广 安 装 量 在 3 至 4 万 之 间 ， 从 1 月 份 检 测 到 此 病 毒 至 6 月 份 为 止 一 直 成 上 升 趋 势 ， 目 前 每 天 的 推 广 量 维 持 在 3 到 4 万 之 间 。 分 析 完 病 毒 推 广 维 度 ， 我 们 又 统 计 了 网 页 维 度 的 a p p 下 载 量 ， 以 从 整 体 上 对 恶 意 a p p 的 安 装 有 个 总 体 的 认 知 。 网 址 安 全 网 址 安 全     当 用 户 访 问 某 个 链 接 时 ， C M S 隐 私 浏 览 功 能 可 以 判 断 是 否 为 恶 意 链 接 。 下 表 是 根 据 C M   S e c u r i t y   查 询 的 数 据 统 计 的 通 过 恶 意 网 址 传 播 的 T O P 病 毒 。 病 毒 应 用 病 毒 应 用 下 载 量 下 载 量 行 为 行 为 W i r e l e s s   o p t i m i z e r 1 6 9 9 2 R o o t + 恶 意 广 告 W I F I   M a s t e r   p r o 8 2 0 6 R o o t + 恶 意 广 告 A n d r o i d S y s t e m T h e m e 7 7 3 4 恶 意 广 告 A d u l t   V i c t o r i a 4 5 9 5 R o o t + 恶 意 广 告 A n d r o i d B a c k u p 4 5 4 6 恶 意 广 告 M X p l a y e r   p r o 4 1 6 9 R o o t + 恶 意 广 告 E S   F i l e   M a n a g e r   p r o 2 9 2 1 R o o t + 恶 意 广 告 L o v e   B e a u t y 2 5 0 7 R o o t + 恶 意 广 告 L o c k T o u c h 2 4 4 7 R o o t + 恶 意 广 告 R u n   K e e p e r 2 4 2 4 R o o t + 恶 意 广 告 M u s i c   P l a y e r   P r o 2 2 8 1 R o o t + 恶 意 广 告 F i r e F o x 2 1 6 6 R o o t + 恶 意 广 告
表 二   恶 意 应 用 下 载 t o p G h o s t P u s h 家 族 家 族 以 上 所 有 病 毒 与 恶 意 广 告 均 属 于 同 一 家 族 ， 简 要 分 析 如 下 M X p l a y e r   p r o 与 W i r e l e s s   o p t i m i z e r 代 码 结 构         通 过 代 码 结 构 可 以 看 到 基 本 属 于 同 一 变 种 ， 其 它 的 样 本 大 多 用 了 G h o s t P u s h 相 同 的 r o o t 模 块 ， 目 前 为 止 此 病 毒 家 族 感 染 量 一 直 稳 居 首 位 。 W i r e l e s s   o p t i m i z e r 与 与 M X p l a y e r   p r o   R o o t 方 式 ： 方 式 ： Ø     W i r e l e s s o p t i m i z e r 上 传 信 息 从 云 端 获 取 r o o t   e l f 文 件 来 进 行 r o o t r o o t 脚 本 及 要 替 换 的 系 统 文 件 h t t p : / / 4 5 . 7 9 . 1 5 1 . 2 4 1 / a d m i n 2 0 1 5 0 6 / u p l o a d A p k F i l e / r t / 2 0 1 6 0 9 0 2 / e n v 2 0 1 6 0 9 0 2 0 9 5 0 . d a t a r o o t   用 到 的 工 具 h t t p : / / 4 5 . 7 9 . 1 5 1 . 2 4 1 / a d m i n 2 0 1 5 0 6 / u p l o a d A p k F i l e / r t / 2 0 1 6 0 8 2 3 / T o o l b o x A n d S u p o l i c y 1 9 . r o o t   手 机 的 e l f h t t p : / / 4 5 . 7 9 . 1 5 1 . 2 4 1 / a d m i n 2 0 1 5 0 6 / u p l o a d A p k F i l e / r t / 2 0 1 6 0 9 0 2 / y m . d a t a Ø     W i r e l e s s o p t i m i z e r 下 载 r o o t   a p k 来 进 行 r o o t r o o t 手 机 的 a p k h t t p : / / d o w n . d i o e w c d n . c o m / b a c k o k r / r t t _ 0 3 1 0 _ 5 7 7 . a p k r o o t 样 本 的 多 次 升 级 ， 目 前 A n d r o i d 6 . 0 以 下 的 机 器 基 本 都 可 以 完 成 r o o t ， 关 键 代 码 以 加 密 的 方 式 放 于 a s s e t s 目 录 或 服 务 器 中 ， 用 时 动 态 加 载 ， 放 于 系 统 目 录 伪 装 成 系 统 内 置 应 用 ， s u 的 调 用 加 入 多 个 不 同 的 参 数 防 止 第 三 方 获 取 r o o t 。   这 些 都 加 大 了 对 r o o t 病 毒 的 检 测 及 清 除 难 度 ， 所 以 r o o t 病 毒 至 今 依 然 猖 獗 ， 感 染 量 居 高 不 下 。
W i r e l e s s o p t i m i z e r 行 为 以 第 一 个 W i r e l e s s   o p t i m i z e r 为 例 ， 总 体 流 程 ： 主 要 行 为 简 述 ： 主 要 行 为 简 述 ： Ø     显 示 欺 诈 / 色 情 页 面 ， 诱 导 支 付 或 下 载 新 的 恶 意 样 本 Ø     显 示 广 告 / 网 站 推 广
Ø     点 击 跳 转 到 色 情 页 面 或 a p p 推 广 Ø     状 态 栏 广 告 推 送
病 毒 的 行 为 同 其 它 家 族 病 毒 行 为 基 本 相 同 ， 总 体 来 说 中 毒 用 户 依 然 是 少 数 用 户 ， 但 由 于 其 具 有 r o o t 行 为 ， 并 且 病 毒 之 间 相 互 合 作 安 装 其 它 病 毒 ， 并 通 过 色 情 ， 欺 诈 页 面 ， 引 诱 下 载 等 方 式 引 导 用 户 下 载 恶 意 程 序 。 所 以 其 推 广 a p p 的 量 甚 至 可 以 和 一 些 第 三 方 的 应 用 市 场 持 平 ， 加 上 r o o t 病 毒 难 以 清 除 并 经 常 自 动 从 服 务 器 更 新 广 告 / r o o t   s d k 数 据 ， 会 有 一 批 稳 定 的 “ 用 户 ” 量 ， 通 过 广 告 ， 推 广 a p p 等 形 式 来 获 取 收 益 。 以 上 病 毒 对 应 的 恶 意 域 名 以 上 病 毒 对 应 的 恶 意 域 名 T O P 病 毒 对 应 恶 意 域 名 病 毒 对 应 恶 意 域 名 下 载 次 数 下 载 次 数 d 1 1 w 6 7 1 5 s f 0 q t r . c l o u d f r o n t . n e t 1 4 6 5 d 2 x p r s j 0 r i y m s o . c l o u d f r o n t . n e t 1 0 4 6 d 2 e l v a 2 9 u p 0 e c b . c l o u d f r o n t . n e t 8 2 8 d 2 b 5 y q 4 4 m l d i z o . c l o u d f r o n t . n e t 7 9 1 d 1 4 9 e c 8 8 g w q s 6 5 . c l o u d f r o n t . n e t 6 4 5 d 2 x p r s j 0 r i y m s o . c l o u d f r o n t . n e t 6 2 7 d 1 a q b d l 7 8 d 2 i j 9 . c l o u d f r o n t . n e t 6 1 2 d 2 x p r s j 0 r i y m s o . c l o u d f r o n t . n e t 6 0 3 c d n 4 . h e 8 8 c c . c o m 5 7 9 d 2 h x o y 2 7 l s w r w n . c l o u d f r o n t . n e t 5 5 7 d 3 n r m o n u 5 c h d o e . c l o u d f r o n t . n e t 5 5 7 d f l n r 8 m b t 9 z n 4 . c l o u d f r o n t . n e t 5 4 3 d e v e l o p e d . d o w n . p a i p a i j i a j i a h o h o . r o c k s 5 3 2 d e v e l o p e d . d o w n . s p e e d e v e r y t h i n g . r a c i n g 4 3 6 d 2 2 3 p r 2 7 h f 0 9 g h . c l o u d f r o n t . n e t 4 0 8 d 3 2 v d a x i 7 k i s e 9 . c l o u d f r o n t . n e t 3 8 5 d 1 p 9 9 g h 6 s y i 4 w 3 . c l o u d f r o n t . n e t 3 5 5
d 2 z f t p x w 5 x 4 s d a . c l o u d f r o n t . n e t 3 3 0 a p k . c s 9 a d v . c o m 3 1 8 c d n 4 . h e 8 8 c c . c o m 2 8 4 d 1 2 w w r g n 1 7 1 d p f . c l o u d f r o n t . n e t 2 8 2 d 3 m i a i w 2 2 d 9 t o a . c l o u d f r o n t . n e t 2 5 6 d i y u u d i 4 i t l 2 y . c l o u d f r o n t . n e t 2 4 2 d 1 5 k k 6 v i f 9 v f l 2 . c l o u d f r o n t . n e t 2 3 9 k o k d d l . b 0 . u p a i y u n . c o m 2 3 0 d 2 g 6 y v v e 5 j k g j . c l o u d f r o n t . n e t 2 2 0 d 3 b e f r 7 z f y x n g 9 . c l o u d f r o n t . n e t 2 1 4 d u f k 9 0 v z 3 m 4 6 3 . c l o u d f r o n t . n e t 2 1 2 d e v e l o p e d . d o w n . s p e e d e v e r y t h i n g . r a c i n g 2 1 1 d 3 v 8 4 e u o i q d 4 j a . c l o u d f r o n t . n e t 2 0 3 c d n 4 . h e 8 8 c c . c o m 1 9 3 d 1 6 t q y l a r i c 8 r z . c l o u d f r o n t . n e t 1 9 1 d 3 v g n p m q p 0 2 8 7 f . c l o u d f r o n t . n e t 1 8 0 d 1 o y s 6 p g z o u z 0 v . c l o u d f r o n t . n e t 1 7 7 d 3 h g 5 h e l w c y 9 a 6 . c l o u d f r o n t . n e t 1 7 7 d 3 r n d 9 s r e h 1 i c y . c l o u d f r o n t . n e t 1 7 5 d g p p 3 2 6 3 v z s n 4 . c l o u d f r o n t . n e t 1 7 1 d 2 q k 9 d h i y o f 2 a 7 . c l o u d f r o n t . n e t 1 7 0 d z 4 h 5 3 f 1 f c 3 3 s . c l o u d f r o n t . n e t 1 7 0 d 1 6 l m r 1 g 7 q 6 e 6 x . c l o u d f r o n t . n e t 1 6 8 k o k d d l . b 0 . u p a i y u n . c o m 1 6 8 d 2 k y 4 l f t 4 a s w 5 . c l o u d f r o n t . n e t 1 6 1 d o w n . s l a m d u n k . s p a c e 1 6 1 a p k . c s 9 a d v . c o m 1 4 7 d s 1 t j 0 8 w t 4 9 5 i . c l o u d f r o n t . n e t 1 4 2 d e v e l o p e d . d o w n . p a i p a i j i a j i a h o h o . r o c k s 1 3 5 d 9 b f 1 m n 0 2 x k e o . c l o u d f r o n t . n e t 1 3 1 病 毒 对 应 恶 意 域 名 病 毒 对 应 恶 意 域 名 下 载 次 数 下 载 次 数 表 三   恶 意 域 名 t o p 由 于 是 同 一 家 庭 的 病 毒 ， 基 本 上 访 问 的 r o o t 服 务 、 广 告 服 务 都 是 对 应 于 同 一 个 域 名 。 猎 豹 移 动 安 全 实 验 室 对 这 些 域 名 的 来 源 做 了 分 析 ， 以 发 现 是 什 么 样 的 链 接 引 导 用 户 安 装 恶 意 的 a p p 。
跳 转 到 这 些 域 名 下 载 的 上 一 级 来 源 为 跳 转 到 这 些 域 名 下 载 的 上 一 级 来 源 为 病 毒 下 载 链 接 的 病 毒 下 载 链 接 的 r e f e r r e r 访 问 数 量 访 问 数 量 a d f . l y 3 0 2 7 1 s l i m s p o t s . c o m 1 0 0 2 1 c l o u d f r o n t . n e t 6 1 2 0 s h . s t 4 4 8 5 p d a n e w . c o m 3 0 6 3 j a p e m u s i c . c o m 2 8 5 0 a f f t r a c k . c o m 2 5 3 3 c l i c k p a r t o f f o n . x y z 2 1 3 4 a d y o u . m e 1 4 2 9 o u o . p r e s s 1 2 8 5 a d r e a c t o r . c o m 1 2 4 7 b c . v c 1 2 0 9 p o p a d s . n e t 9 6 2 w a f r a m e d i a 8 . c o m 9 0 7 z a t n a w q y . n e t 8 6 4 a d u l t m a s t e r 2 5 . c o m 7 1 2 … … 表 四   上 级 链 接 来 源 t o p 可 见 病 毒 的 主 要 来 源 ， 来 自 短 链 接 以 及 一 些 广 告 链 接 。 经 过 我 们 排 查 短 链 接 与 广 告 链 接 的 上 一 级 来 源 后 ， 结 果 大 致 如 下 。   总 结 总 结
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理