搜索

[10881] 2017-01-01_如何更好地预防移动端勒索软件的侵害？要从勒索软件的运行机制入手

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-01-01_如何更好地预防移动端勒索软件的侵害？要从勒索软件的运行机制入手 如 何 更 好 地 预 防 移 动 端 勒 索 软 件 的 侵 害 ？ 要 从 勒 索 软 件 的 运 行 机 制 入 手 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 1 - 0 1 在 在 2 0 1 6 年 发 生 了 许 多 与 勒 索 软 件 有 关 的 安 全 事 件 ， 而 现 在 越 来 越 多 的 网 络 犯 罪 分 子 会 通 过 勒 索 软 件 来 获 取 大 量 的 非 法 收 年 发 生 了 许 多 与 勒 索 软 件 有 关 的 安 全 事 件 ， 而 现 在 越 来 越 多 的 网 络 犯 罪 分 子 会 通 过 勒 索 软 件 来 获 取 大 量 的 非 法 收 益 。 除 此 之 外 ， 益 。 除 此 之 外 ， “ 勒 索 软 件 即 服 务 勒 索 软 件 即 服 务 ” 在 暗 网 市 场 中 似 乎 也 成 了 一 种 新 的 潮 流 。 更 加 恐 怖 的 是 ， 在 暗 网 市 场 中 似 乎 也 成 了 一 种 新 的 潮 流 。 更 加 恐 怖 的 是 ， 2 0 1 7 年 将 会 成 为 勒 索 软 件 爆 发 年 将 会 成 为 勒 索 软 件 爆 发 的 一 年 。 因 此 ， 我 们 如 何 才 能 更 好 地 保 护 自 己 的 安 全 呢 ？ 的 一 年 。 因 此 ， 我 们 如 何 才 能 更 好 地 保 护 自 己 的 安 全 呢 ？ 既 然 我 们 已 经 知 道 了 攻 击 者 可 以 做 什 么 ， 那 么 我 们 将 在 这 篇 文 章 中 讨 论 移 动 端 勒 索 软 件 的 检 测 和 缓 解 思 路 。 我 们 希 望 能 够 将 这 些 技 术 方 面 的 内 容 与 安 全 研 究 人 员 共 同 分 享 ， 并 且 提 升 安 全 行 业 对 移 动 端 勒 索 软 件 的 理 解 。 检 测 思 路 检 测 思 路 为 了 设 计 和 实 现 更 加 高 效 的 移 动 端 勒 索 软 件 检 测 / 缓 解 技 术 ， 我 们 必 须 从 移 动 端 勒 索 软 件 的 技 术 细 节 入 手 。 毫 无 疑 问 的 是 ， 勒 索 软 件 的 恶 意 功 能 肯 定 会 在 其 实 现 代 码 中 有 所 体 现 。 因 此 ， 我 们 准 备 利 用 静 态 分 析 技 术 以 及 一 些 其 他 的 小 技 巧 来 对 移 动 端 勒 索 软 件 进 行 分 析 和 探 究 。 下 图 显 示 的 就 是 几 种 移 动 端 勒 索 软 件 常 用 的 检 测 方 法 ： 下 图 显 示 的 就 是 几 种 移 动 端 勒 索 软 件 常 用 的 检 测 方 法 ：
典 型 的 “ 威 胁 信 息 ” （ T h r e a t e n i n g   t e x t ） 会 写 得 非 常 明 确 ， 用 户 一 看 就 会 知 道 自 己 正 在 面 对 的 是 什 么 ， 而 且 这 些 信 息 往 往 都 会 告 诉 目 标 用 户 如 何 去 支 付 赎 金 。 因 此 ， 我 们 可 以 通 过 机 器 学 习 算 法 来 对 “ 正 常 信 息 ” 和 “ 威 胁 信 息 ” 进 行 自 动 化 分 类 ， 并 以 此 来 检 测 移 动 设 备 是 否 感 染 了 勒 索 软 件 。 我 们 需 要 对 分 类 器 进 行 一 些 简 单 的 训 练 ， 首 先 要 移 除 掉 勒 索 信 息 样 本 中 的 一 些 类 似 “ t h e ” 、 “ a t ” 和 “ a n ” 这 样 的 介 词 ， 然 后 将 类 似 “ l o c k e d ” 这 样 的 动 词 过 去 式 ／ 完 成 时 转 换 为 其 动 词 原 形 “ l o c k ” 。 我 们 用 一 些 典 型 的 威 胁 信 息 样 本 和 普 通 的 文 本 信 息 来 训 练 分 类 器 ， 这 样 就 可 以 让 分 类 器 学 会 区 分 出 哪 些 是 不 安 全 的 消 息 了 。 勒 索 软 件 目 前 所 使 用 的 信 息 锁 定 技 术 都 是 已 知 的 ， 所 以 我 们 可 以 通 过 轻 量 级 的 符 号 执 行 技 术 来 检 测 勒 索 软 件 的 恶 意 活 动 。 首 先 ， 我 们 可 以 搜 索 A p p 中 a n d r o i d . a p p . A c t i v i t y 的 所 有 子 类 ， 并 且 找 出 所 有 重 写 了 o n K e y U p 和 o n k e y D o w n 方 法 的 字 节 码 。 接 下 来 ， 我 们 可 以 模 拟 执 行 这 些 方 法 中 的 代 码 来 查 看 其 代 码 路 径 是 否 锁 定 了 手 机 的 h o m e 键 或 返 回 键 （ 下 图 中 的 蓝 色 箭 头 所 示 ） ， 如 果 方 法 的 返 回 值 为 “ t r u e ” （ 如 红 色 箭 头 所 示 ） ， 则 表 明 点 击 事 件 不 会 得 到 进 一 步 的 处 理 。 这 也 就 意 味 着 ， 被 感 染 手 机 中 的 其 他 应 用 将 不 会 被 推 送 至 手 机 前 台 ， 包 括 手 机 原 本 的 主 屏 l a u n c h e r 在 内 。 下 图 显 示 的 是 锁 定 手 机 虚 拟 键 的 代 码 路 径 ： 下 图 显 示 的 是 锁 定 手 机 虚 拟 键 的 代 码 路 径 ：
为 了 利 用 设 备 的 管 理 员 A P I ， 应 用 程 序 需 要 在 其 m a n i f e s t 文 件 中 声 明 相 应 的 权 限 。 但 是 攻 击 者 可 以 单 独 定 一 个 “ 策 略 ” 文 件 ， 恶 意 A p p 可 以 直 接 引 用 这 个 文 件 来 获 取 到 管 理 员 权 限 （ r o o t ） 。 因 此 ， 我 们 可 以 通 过 检 测 设 备 中 的 一 些 危 险 行 为 （ 例 如 重 置 密 码 、 强 制 锁 定 、 擦 除 数 据 和 存 储 加 密 等 ） ， 来 识 别 出 一 些 不 需 要 用 户 交 互 的 恶 意 方 法 。 在 这 里 ， 我 们 使 用 了 一 款 自 定 义 版 的 F l o w D r o i d 来 对 勒 索 软 件 的 字 节 码 进 行 静 态 分 析 。 首 先 我 们 要 了 解 勒 索 软 件 A p p 中 所 有 方 法 的 控 制 流 程 ， 我 们 打 算 先 寻 找 调 用 l o c k N o w ( ) 的 方 法 以 及 一 些 其 他 的 恶 意 方 法 。 我 们 找 出 了 所 有 调 用 了 J a v a 反 射 A P I 的 方 法 ， 但 是 相 应 的 方 法 代 码 都 是 经 过 混 淆 处 理 的 。 当 我 们 识 别 出 了 这 些 方 法 名 之 后 ， 我 们 就 可 以 将 这 些 方 法 添 加 进 控 制 流 程 图 中 的 节 点 了 。 如 果 方 法 名 称 经 过 了 混 淆 处 理 ， 那 么 我 们 要 先 找 到 保 存 有 这 个 方 法 名 （ 已 混 淆 ） 的 S t r i n g 对 象 ， 然 后 利 用 反 射 机 制 来 重 新 执 行 方 法 中 的 所 有 声 明 语 句 ， 直 到 我 们 运 行 到 i n v o k e ( ) 方 法 为 止 。 这 样 一 来 ， 我 们 便 能 够 画 出 勒 索 软 件 大 致 的 控 制 流 程 图 了 。 下 图 所 示 的 就 是 我 们 在 寻 找 滥 用 设 备 管 理 员 下 图 所 示 的 就 是 我 们 在 寻 找 滥 用 设 备 管 理 员 A P I 的 方 法 时 的 大 致 流 程 ： 的 方 法 时 的 大 致 流 程 ： 我 们 还 尝 试 利 用 同 样 的 方 法 来 对 其 他 的 一 些 感 染 实 例 进 行 了 检 测 。 更 加 确 切 地 说 ， 我 们 想 测 试 一 下 这 项 技 术 能 否 适 用 于 各 种 场 景 。 同 样 的 ， 我 们 还 是 使 用 F l o w D r o i d 来 进 行 流 程 分 析 ， 比 如 说 ， 我 们 现 在 准 备 分 析 l i s t F i l e s ( ) 方 法 到 C i p h e r o u t p u t S t r e a m ( ) 方 法 之 间 的 代 码 处 理 流 程 。 我 们 需 要 找 出 那 些 并 非 由 主 屏 l a u n c h e r 所 启 动 的 代 码 路 径 ， 因 为 这 些 代 码 路 径 所 指 向 的 功 能 是 不 需 要 任 何 的 用 户 交 互 就 可 以 直 接 激 活 的 。
不 幸 的 是 ， 整 个 检 测 过 程 需 要 消 耗 大 量 的 时 间 。 如 果 使 用 机 器 学 习 方 法 ， 我 们 就 可 以 对 A p p 进 行 预 过 滤 处 理 ， 这 样 就 可 以 提 升 我 们 的 检 测 精 度 ， 而 且 也 非 常 的 安 全 。 更 加 重 要 的 是 ， 基 于 机 器 学 习 的 检 测 方 法 可 以 大 大 减 少 我 们 的 检 测 时 间 。 趋 势 科 技 的 解 决 方 案 趋 势 科 技 的 解 决 方 案 趋 势 科 技 （ T r e n d M i c r o ） 一 直 都 在 致 力 于 研 发 这 种 先 进 的 研 究 技 术 ， 这 些 技 术 可 以 帮 助 研 究 人 员 快 速 检 测 到 新 型 的 勒 索 软 件 变 种 ， 并 且 为 终 端 用 户 提 供 可 靠 的 安 全 保 护 。 对 于 客 户 来 说 ， 可 以 使 用 趋 势 科 技 的 移 动 端 安 全 解 决 方 案 【 点 击 阅 读 原 文 ， 查 看 文 章 】 ， 它 可 以 帮 助 用 户 更 好 地 抵 御 恶 意 软 件 所 带 来 的 威 胁 。 企 业 用 户 也 可 以 考 虑 使 用 趋 势 科 技 的 企 业 版 移 动 端 安 全 解 决 方 案 【 点 击 阅 读 原 文 ， 查 看 文 章 】 。 我 们 提 供 了 设 备 管 理 、 数 据 保 护 、 应 用 管 理 和 其 他 的 一 些 功 能 。 *   参 考 来 源 ： t r e n d m i c r o ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理