搜索

[10786] 2016-12-02_有史以来最严重：超100万谷歌账户被黑，Android恶意程序Gooligan正极速蔓延

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-12-02_有史以来最严重：超100万谷歌账户被黑，Android恶意程序Gooligan正极速蔓延 有 史 以 来 最 严 重 ： 超 1 0 0 万 谷 歌 账 户 被 黑 ， A n d r o i d 恶 意 程 序 G o o l i g a n 正 极 速 蔓 延 孙 毛 毛   F r e e B u f   2 0 1 6 - 1 2 - 0 2 你 在 用 你 在 用 A n d r o i d 手 机 吗 ？ 要 当 心 了 ！ 一 款 新 的 手 机 吗 ？ 要 当 心 了 ！ 一 款 新 的 A n d r o i d 恶 意 软 件 已 经 入 侵 了 超 过 恶 意 软 件 已 经 入 侵 了 超 过 1 0 0 万 谷 歌 账 户 ， 还 在 以 每 日 感 染 万 谷 歌 账 户 ， 还 在 以 每 日 感 染 1 3 , 0 0 0 个 设 个 设 备 的 速 度 蔓 延 。 备 的 速 度 蔓 延 。 主 要 针 对 使 用 A n d r o i d   4 . x ( 果 冻 豆 和 K i t K a t ) 和 A n d r o i d   5 . x ( 棒 棒 糖 ) 这 两 个 系 统 版 本 的 用 户 — — 目 前 市 场 上 有 7 4 % 的 A n d r o i d 手 机 都 仍 在 运 行 这 两 个 版 本 的 系 统 。 这 应 该 是 有 史 以 来 最 严 重 的 谷 歌 账 户 被 黑 事 件 。 这 应 该 是 有 史 以 来 最 严 重 的 谷 歌 账 户 被 黑 事 件 。 据 C h e c k   P o i n t 统 计 ， 这 次 被 G o o l i g a n 恶 意 软 件 感 染 的 重 灾 区 就 在 亚 洲 。 总 体 分 布 如 下 图 所 示 ： 恶 意 软 件 恶 意 软 件 G o o g l i g a n 这 个 叫 做 G o o l i g a n 的 恶 意 软 件 可 以 植 入 到 这 些 A n d r o i d 设 备 上 ， 窃 取 设 备 上 存 储 的 谷 歌 账 户 和 身 份 验 证 t o k e n 信 息 。 只 要 入 侵 者 掌 握 了 这 些 信 息 ， 他 们 就 能 劫 持 你 的 谷 歌 账 号 ， 从 各 类 谷 歌 A p p 中 获 取 你 的 敏 感 信 息 。 包 括 G m a i l ,   G o o g l e   P h o t o s ,   G o o g l e   D o c s ,   G o o g l e   P l a y ,   G o o g l e   D r i v e 和 G   S u i t e 。
C h e c k   P o i n t 的 研 究 人 员 对 G o o l i g a n 的 代 码 追 根 溯 源 之 后 发 现 ， 这 款 恶 意 程 序 实 际 上 来 自 多 个 看 起 来 合 法 的 第 三 方 A n d r o i d 应 用 商 店 。 只 要 用 户 下 载 并 安 装 了 某 些 感 染 了 G o o g l i g a n 的 A p p （ 共 8 6 个 ） ， 恶 意 软 件 就 会 开 始 将 你 的 设 备 信 息 和 个 人 数 据 发 送 给 它 的 C & C （ C o m m a n d   a n d   C o n t r o l ） 服 务 器 。 C h e c k   P o i n t 在 博 客 中 说 ， 其 传 播 方 式 主 要 是 第 三 方 应 用 商 店 ， 不 过 也 有 部 分 A n d r o i d 用 户 是 点 击 了 钓 鱼 链 接 。 感 染 G o o l i g a n 的 应 用 安 装 到 手 机 上 之 后 ， 就 会 向 C & C 服 务 器 发 回 数 据 。 G o o l i g a n 随 后 从 C & C 服 务 器 下 载 r o o t k i t ， 利 用 A n d r o i d   4 / 5 系 统 的 多 个 漏 洞 ， 像 是   V R O O T   ( C V E - 2 0 1 3 - 6 2 8 2 ) 和 T o w e l r o o t   ( C V E - 2 0 1 4 - 3 1 5 3 ) 等 。 r o o t 一 旦 成 功 ， 攻 击 者 就 可 以 彻 底 控 制 设 备 ， 远 程 执 行 高 权 限 指 令 。 在 获 得 r o o t 权 限 之 后 ， G o o g l i g a n 还 会 从 C & C 服 务 器 下 载 新 的 恶 意 模 块 。 模 块 会 植 入 代 码 运 行 G o o g l e   P l a y 或 者 G M S ， 伪 装 成 用 户 行 为 避 免 被 检 测 到 — — 先 前 H u m m i n g B a d 也 是 这 么 干 的 。 这 个 模 块 会 做 下 面 这 些 事 ： 盗 取 用 户 的 谷 歌 邮 箱 账 户 和 认 证 t o k e n 信 息 ； 从 G o o g l e   P l a y 商 店 安 装 应 用 ， 为 应 用 刷 分 ； 安 装 广 告 程 序 ， 获 得 经 济 利 益 。 值 得 一 提 的 是 ， 这 里 的 谷 歌 a u t h o r i z a t i o n   t o k e n 是 访 问 谷 歌 账 户 的 一 种 方 式 ， 用 户 成 功 登 录 谷 歌 账 户 之 后 ， 谷 歌 就 会 颁 发 t o k e n 。 攻 击 者 盗 取 认 证 t o k e n 之 后 ， 就 能 用 来 访 问 用 户 所 有 的 谷 歌 服 务 ， 包 括 G o o g l e   P l a y 、 G m a i l 、 G o o g l e   P h o t o s 、 D o c s 、 D r i v e 等 等 。 对 用 户 来 说 ， 谷 歌 账 户 登 录 的 确 是 需 要 双 重 认 证 过 程 的 。 不 过 盗 取 认 证 t o k e n 不 存 在 这 种 机 制 了 。 此 外 ， 广 告 服 务 器 本 身 其 实 并 不 知 道 应 用 是 否 恶 意 ， 它 会 给 G o o l i g a n 发 送 应 用 名 称 ， 令 其 从 G o o g l e   P l a y 商 店 下 载 。 应 用 安 装 后 ， 广 告 服 务 就 会 给 G o o l i g a n 的 作 者 付 钱 。 随 后 恶 意 程 序 还 会 给 应 用 好 评 和 较 高 的 评 分 （ 所 以 看 评 分 下 应 用 是 不 靠 谱 的 啊 ） 。 下 图 就 是 刷 出 来 的 评 价 和 评 分 …
另 外 ， 和 H u m m i n g B a d 一 样 ， 恶 意 程 序 还 会 伪 造 设 备 识 别 信 息 （ I M E I 和 I M S I ） ， 这 样 一 个 应 用 就 可 以 下 载 两 次 ， 让 应 用 商 店 认 为 是 从 两 台 不 同 的 设 备 上 下 载 的 。 这 样 攻 击 者 获 得 的 收 益 也 就 有 了 双 份 。 “ 这 类 漏 洞 对 很 多 A n d r o i d 设 备 来 说 仍 然 是 个 麻 烦 ， 因 为 针 对 它 们 的 补 丁 可 能 不 适 用 于 所 有 A n d r o i d 系 统 ， 又 或 者 很 多 用 户 根 本 就 懒 得 去 升 级 补 丁 。 ” 谷 歌 采 取 的 应 急 办 法 谷 歌 采 取 的 应 急 办 法 谷 歌 A n d r o i d 安 全 的 负 责 人 A d r i a n   L u d w i g 提 到 谷 歌 针 对 那 些 感 染 恶 意 程 序 的 设 备 ， 已 经 对 其 谷 歌 账 户 信 息 进 行 了 锁 定 ， 还 为 这 些 用 户 如 何 重 置 提 供 提 供 了 指 示 信 息 。 谷 歌 另 外 也 期 望 通 过 网 络 服 务 提 供 商 （ I S P ） 来 关 闭 这 个 恶 意 软 件 ， 因 为 I S P 提 供 互 联 网 接 入 业 务 ， C & C 服 务 器 就 是 利 用 它 来 控 制 G o o l i g a n 的 。 同 时 ， 谷 歌 还 从 G o o g l e   P l a y 上 移 除 了 所 有 与 恶 意 软 件 有 关 的 A p p ， 只 不 过 本 来 G o o l i g a n 主 要 就 是 通 过 第 三 方 的 A p p 平 台 传 播 的 ， 所 以 风 险 依 旧 存 在 。 此 外 ， 谷 歌 还 更 新 了 一 个 叫 做 “ 验 证 A p p ” 的 新 功 能 来 避 免 用 户 下 载 已 经 感 染 的 应 用 。 “ 即 使 用 户 是 使 用 G o o g l e   P l a y 之 外 的 平 台 来 下 载 ， ‘ 验 证 A p p ’ 依 然 可 以 提 醒 用 户 并 停 止 下 载 。 ”
如 何 自 检 ？ 如 何 自 检 ？ C h e c k   P o i n t 专 门 发 布 了 一 个 在 线 工 具 ‘ G o o l i g a n   C h e c k e r ’   ， 用 户 可 以 通 过 输 入 自 己 的 谷 歌 邮 箱 地 址 来 检 查 自 己 有 没 有 被 G o o l i g a n 感 染 。 如 果 不 幸 得 到 了 肯 定 的 结 果 ， L u d w i g 建 议 用 户 执 行 所 谓 的 系 统 “ c l e a n   i n s t a l l a t i o n ” 来 解 决 问 题 ， 应 该 是 指 恢 复 出 厂 设 置 。
自 己 去 运 行 这 个 叫 做 “ F l a s h i n g ” 的 流 程 其 实 还 有 点 复 杂 ， 所 以 谷 歌 给 出 的 建 议 是 不 如 直 接 关 机 ， 然 后 找 经 认 证 的 技 术 人 员 或 移 动 业 务 供 应 商 来 帮 你 刷 机 。 不 过 值 得 庆 幸 的 是 ， 虽 然 亚 洲 是 重 灾 区 ， 国 内 绝 大 部 分 使 用 A n d r o i d 设 备 的 小 伙 伴 也 基 本 不 用 担 心 。 毕 竟 G o o l i g a n 针 对 的 都 是 谷 歌 账 号 的 相 关 应 用 ， 反 正 咱 们 也 上 不 去 。 *   参 考 来 源 ： C h e c k P o i n t ， F B 小 编 孙 毛 毛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理