搜索

[9465] 2015-10-23_淘米客SDK被曝可劫持用户的所有短信

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2015-10-23_淘米客SDK被曝可劫持用户的所有短信 淘 米 客 S D K 被 曝 可 劫 持 用 户 的 所 有 短 信 F r e e B u f   2 0 1 5 - 1 0 - 2 3 报 告 原 作 者 ： S h a w n   J i n ， Z h i   X u ， C l a u d   X i a o 移 动 应 用 移 动 应 用 A p p 开 发 者 都 面 临 着 如 何 进 行 盈 利 这 项 不 可 避 免 的 问 题 ， 其 中 最 常 见 的 方 法 便 是 在 应 用 中 加 入 广 告 。 广 告 开 发 者 都 面 临 着 如 何 进 行 盈 利 这 项 不 可 避 免 的 问 题 ， 其 中 最 常 见 的 方 法 便 是 在 应 用 中 加 入 广 告 。 广 告 联 盟 创 建 一 个 函 数 库 ， 方 便 开 发 者 将 广 告 植 入 其 中 ， 以 开 始 快 速 的 赚 钱 。 我 们 之 前 就 强 调 安 装 这 些 使 用 了 联 盟 创 建 一 个 函 数 库 ， 方 便 开 发 者 将 广 告 植 入 其 中 ， 以 开 始 快 速 的 赚 钱 。 我 们 之 前 就 强 调 安 装 这 些 使 用 了 I A P s 的 应 的 应 用 十 分 危 险 ， 因 为 通 常 这 些 应 用 能 够 读 取 发 送 到 用 户 手 机 上 的 所 有 短 信 。 用 十 分 危 险 ， 因 为 通 常 这 些 应 用 能 够 读 取 发 送 到 用 户 手 机 上 的 所 有 短 信 。 当 然 并 非 所 有 基 于 I A P 的 S M S 应 用 都 会 盗 取 用 户 的 数 据 ， 但 我 们 最 近 分 析 的 T a o m i k e   S D K 就 会 捕 获 短 信 并 将 副 本 发 送 到 淘 米 客 控 制 服 务 器 。 自 8 月 1 日 起 ， P a l o   A l t o   N e t w o r k s   W i l d F i r e 获 得 的 数 据 表 明 超 过 1 8 , 0 0 0 款 安 卓 应 用 包 含 这 个 库 。 这 些 应 用 均 不 存 在 于 G o o g l e   P l a y 应 用 商 店 ， 都 是 通 过 第 三 方 应 用 商 店 在 中 国 传 播 。 背 景 背 景 W i l d F i r e 捕 获 到 的 许 多 移 动 恶 意 软 件 样 本 都 会 拦 截 并 上 传 短 信 ， 这 些 应 用 中 大 部 分 都 是 开 发 者 在 第 三 方 托 管 商 中 设 置 了 一 个 命 令 控 制 服 务 器 ， 并 且 经 常 更 新 位 置 以 躲 避 检 测 。 在 这 些 恶 意 软 件 中 我 们 发 现 很 多 是 由 “ m o b i l e   m o n e t i z a t i o n ” 公 司 创 建 的 ， 这 些 应 用 通 常 都 是 欺 骗 用 户 点 击 弹 出 窗 口 进 行 安 装 ， 用 户 之 后 才 从 电 话 账 单 中 发 现 猫 腻 ， 反 病 毒 软 件 通 常 将 此 类 A p p 识 别 为 恶 意 软 件 。 但 是 本 文 所 讲 述 的 这 款 恶 意 软 件 有 些 不 同 ， 很 难 检 测 到 它 。 淘 米 客 是 一 家 中 国 公 司 ， 其 目 标 是 成 为 中 国 最 大 的 移 动 广 告 解 决 方 案 平 台 。 他 们 提 供 了 一 个 S D K 和 服 务 帮 助 开 发 者 展 示 丰 富 的 广 告 内 容 ， 此 前 淘 米 客 并 没 有 相 关 的 恶 意 行 为 ， 但 最 近 的 一 次 版 本 更 新 中 增 加 了 一 项 盗 取 短 信 的 功 能 。 在 应 用 中 嵌 入 库 应 该 是 合 法 的 ， 并 且 有 很 重 要 的 功 能 ， 但 是 开 发 者 选 择 淘 米 客 的 S D K 就 将 他 们 自 己 陷 入 了 危 险 的 境 地 。 技 术 细 节 ： 盗 取 短 信 技 术 细 节 ： 盗 取 短 信 并 非 所 有 使 用 淘 米 客 S D K 的 应 用 都 会 盗 取 用 户 短 信 ， 我 们 的 分 析 表 明 仅 有 包 含 嵌 入 式 U R L 的 样 本 h x x p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / 2 c . p h p 才 会 有 这 个 功 能 。 这 个 U R L 就 是 上 传 短 信 的 地 址 ， 并 且 这 个 I P 地 址 属 于 T a o m i k e   A P I 服 务 。 在 我 们 捕 获 的 6 3 , 0 0 0   A n d r o i d   A p p 中 就 有 1 8 , 0 0 0 个 应 用 包 含 这 个 盗 取 短 信 的 功 能 。
我 们 相 信 淘 米 客 S D K 肯 定 有 许 多 版 本 ， 只 有 部 分 版 本 会 上 传 用 户 的 短 信 。 基 于 我 们 的 数 据 ， 盗 取 短 信 功 能 是 2 0 1 5 年 8 月 刚 发 布 的 新 版 本 中 才 会 有 的 功 能 ， 之 前 版 本 的 S D K 都 不 具 有 这 项 功 能 ， 所 以 使 用 老 版 本 的 用 户 是 安 全 的 。 这 个 淘 米 客 l i b r a r y 被 称 之 为 “ z d t p a y ” ， 是 T a o m i k e ’ s   I A P 系 统 中 的 一 个 组 件 。 我 们 从 m a n i f e s t 文 件 中 看 到 这 个 库 需 要 短 信 和 网 络 权 限 ， 这 个 库 同 时 还 为 S M S _ R E C E I V E D 和 B O O T _ C O M P L E T E D 注 册 了 一 个 名 为 c o m . z d t p a y . R f 2 b 接 收 器 。 这 个 注 册 接 收 器 R f 2 b 将 会 读 取 短 信 ， 如 下 图 所 示 ， 它 还 收 集 消 息 内 容 和 发 送 方 手 机 号 码 。 如 果 设 备 刚 重 启 ， 接 着 将 启 动 M y S d 2 e 服 务 再 次 为 R f 2 b 注 册 一 个 接 收 器 接 收 器 收 集 到 的 短 信 保 存 到 h a s h m a p ， 然 后 上 传 到 1 1 2 . 1 2 6 . 6 9 . 5 1
所 有 发 送 到 手 机 的 短 信 都 会 被 上 传 ， 不 仅 仅 是 那 些 与 T a o m i k e 相 关 的 平 台 。 下 图 显 示 了 一 个 上 传 测 试 消 息 时 抓 取 到 的 数 据 包 ， 短 消 息 已 经 用 红 色 虚 线 标 记 出 来 “ h e y   t e s t   m s g ” 。 淘 米 客 l i b r a r y 还 链 接 下 面 的 U R L ， 但 仅 有 “ 2 c . p h p ” 是 用 来 盗 取 短 信 消 息 的 ， 其 他 的 路 径 都 是 库 的 一 些 其 他 功 能 。 h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / 2 c . p h p h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / i m e i _ m o b i l e . p h p h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / i n s t a l l _ r e p o r t . p h p h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / e r r o r . p h p h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / r i x i a n . p h p h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / o r d e r _ m o . p h p h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / o r d e r . p h p h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / o r d e r _ s t a t u s . p h p h t t p : / / 1 1 2 . 1 2 6 . 6 9 . 5 1 / t d s t a t u s . p h p 风 险 及 解 决 方 案 风 险 及 解 决 方 案 自 2 0 1 5 年 8 月 至 今 ， 我 们 共 捕 获 了 大 约 1 8 0 0 0 份 包 含 短 信 盗 取 l i b r a r y 的 样 本 ， 这 也 意 味 着 受 影 响 的 用 户 量 是 有 多 庞 大 。 随 着 更 多 的 开 发 者 更 新 最 新 版 本 的 S D K ， 有 影 响 的 应 用 和 用 户 数 量 会 不 断 上 升 。 我 们 还 不 清 楚 淘 米 客 盗 取 用 户 的 短 信 是 拿 来 做 什 么 ， 但 是 一 个 l i b r a r y 抓 取 短 信 并 上 传 实 非 正 途 ！ 在 A n d r o i d   4 . 4 版 本 谷 歌 就 已 经 开 始 阻 止 应 用 程 序 盗 取 短 信 了 ， 除 非 默 认 该 应 用 为 短 信 程 序 。 中 国 以 外 的 用 户 ， 只 要 从 官 方 G o o g l e   P l a y 应 用 商 店 上 下 载 应 用 就 不 会 受 到 这 类 威 胁 。 结 论 结 论 即 使 是 非 常 流 行 的 第 三 方 广 告 联 盟 平 台 也 不 能 完 全 信 任 。 当 开 发 者 在 其 应 用 中 引 用 新 库 时 ， 需 要 仔 细 的 测 试 并 查 看 是 否 有 异 常 活 动 。 *   报 告 原 作 者 S h a w n   J i n ， Z h i   X u ， C l a u d   X i a o ， 来 自 p a l o a l t o ， 编 译 / F B 小 编 鸢 尾 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理