搜索

[10509] 2016-09-16_安卓ELF恶意软件深度分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2016-09-16_安卓ELF恶意软件深度分析 安 卓 E L F 恶 意 软 件 深 度 分 析 猎 豹 移 动 安 全   F r e e B u f   2 0 1 6 - 0 9 - 1 6 E L F 病 毒 背 景 病 毒 背 景 1 . A n d r o i d 病 毒 发 展 趋 势 病 毒 发 展 趋 势 自   2 0 1 0   年 开 始 ， 全 球 进 入 了 移 动 互 联 网 时 代 ， 作 为 主 流 移 动 操 作 系 统 A n d r o i d 也 得 到 了 迅 猛 发 展 。 A n d r o i d 病 毒 也 从 简 单 到 复 杂 ， 从 单 纯 的 d e x 病 毒 转 向 为 e l f 病 毒 （ 其 中 e l f 是 L i n u x 下 的 可 执 行 程 序 ） 。 这 一 发 展 趋 势 有 几 个 原 因 ： 经 过 多 年 发 展 程 序 编 写 人 员 水 平 普 遍 提 高 ， 大 量 的 l i n u x 程 序 移 植 到 a n d r o i d 系 统 ， 病 毒 也 随 之 发 展 。 a n d r o i d 系 统 碎 片 化 严 重 ， 提 取 漏 洞 不 断 累 积 导 致 病 毒 攻 击 方 式 多 元 化   ， e l f 文 件 具 有 比 d e x 程 序 更 难 分 析 的 特 点 。 常 规 杀 软 没 有 r o o t 权 限 ， 难 以 查 杀 病 毒 。 2 . E L F 病 毒 纪 元 图 病 毒 纪 元 图 感 染 情 况 ： r o o t 类 病 毒 自 2 0 1 4 年 9 月 至 2 0 1 6 年 7 月 份 的 感 染 量
主 要 两 大 家 族 感 染 量   3 . 感 染 用 户 案 例 感 染 用 户 案 例 下 面 是 F a c e b o o k 上 用 户 感 染 E L F 病 毒 的 案 例 ， 可 以 看 出 ， 由 于 没 有 R O O T 权 限 ， 无 法 直 接 清 除 病 毒 。

E L F 病 毒 危 害 形 式 病 毒 危 害 形 式 1 . 提 权 提 权 利 用 漏 洞 获 取 R O O T 权 限 , 如 病 毒 r o o t n i k ： 病 毒 获 取 R O O T   权 限 时 ， 运 行 / d a t a / l o c a l / t m p / 下 的 M a t r i x （ R O O T 组 件 ， 命 令 ： . / M a t r i x   / d a t a / l o c a l / t m p   1 ） ， 病 毒 程 序 M a t r i x 从 f i l e W o r k 中 解 密 并 释 放 支 持 文 件 ， 调 用 脚 本 w s r o o t . s h 进 行 R O O T 。 脚 本 w s r o o t . s h   运 行 时 传 入 参 数 / d a t a / l o c a l / t m p 、 1 ， 其 中 / d a t a / l o c a l / t m p 为 支 持 文 件 路 径 ， 1 代 表 不 安 装 s u p e r u s e r ， 提 权 文 件 为 s u 8 。 R O O T 后 在 系 统 目 录 下 添 加 提 权 应 用   在 / s y s t e m / b i n / 下 生 成 文 件 s u 8 ， 作 为 提 权 的 s u 程 序 ， 该 程 序 可 以 被 任 何 A p p 用 来 获 取 R O O T 权 限 使 用 ， 存 在 巨 大 隐 患 。
                        文 件 列 表 （ 都 为 提 供 R O O T   权 限 服 务 ） ： / s y s t e m / x b i n / s u 8 / s y s t e m / x b i n / s u g o t e / s y s t e m / x b i n / s u p o l i c y / s y s t e m / x b i n / d a e m o n s u 2 . 对 抗 对 抗 伪 装 替 换 系 统 服 务 病 毒 将 系 统 启 动 时 i n i t . r c 内 要 启 动 的 服 务 替 换 成 病 毒 服 务 ， 并 在 病 毒 服 务 启 动 后 再 调 用 原 始 服 务 。                         如 木 马 A n d r o i d . T r o j . a t _ S e e d . a ， 会 将 自 身 的 主 要 模 块 拷 贝 到 系 统 目 录 / s y s t e m / b i n 内 ， 伪 装 成 系 统 服 务 d e b u g g e r d （ 该 服 务 可 以 侦 测 到 程 序 崩 溃 ， 并 将 崩 溃 时 的 进 程 状 态 信 息 输 出 到 文 件 和 串 口 中 ， 以 供 开 发 人 员 分 析 调 试 使 用 。 ） ， 并 将 原 系 统 服 务 d e b u g g e r d 改 名 为 d e b u g g e r d _ r e a l ， 这 一 方 式 在 R O O T 工 具 中 也 有 使 用 ， 下 图 是 使 用 k i n g r o o t 对 手 机 进 行 R O O T 后 ， / s y s t e m / b i n / d e b u g g e r d 文 件 尾 内 容 ：
病 毒 不 止 利 用 d e b u g g e r d 服 务 ， 有 的 病 毒 会 利 用 / s y s t e m / b i n / v o l d 服 务 ， 如 地 狱 火 ， 一 样 的 手 段 ， 一 样 的 效 果 。 （ v o l d 服 务 ： V o l u m e   D a e m o n 存 储 类 的 守 护 进 程 ， 作 为 A n d r o i d 的 一 个 本 地 服 务 ， 负 责 处 理 诸 如 S D 、 U S B 等 存 储 类 设 备 的 插 拔 等 事 件 。 ） 感 染 b o o t . i m g 通 过 修 改 b o o t . i m g 分 区 并 刷 回 的 方 式 感 染 / s b i n ， 修 改 i n i t . r c 文 件 ， 达 到 每 次 开 机 自 启 的 目 的 。                         由 于 / s b i n 目 录 和 i n i t . r c 文 件 位 于 一 个 R A M   d i s k 中 ， 该 R A M   d i s k 是 一 个 只 读 的 、 位 于 内 存 中 的 文 件 系 统 ， 从 设 备 磁 盘 的 b o o t 分 区 加 载 而 来 ， 所 有 的 更 改 都 不 会 写 回 磁 盘 ， 每 次 都 是 直 接 从 分 区 中 读 取 ， 所 以 无 法 通 过 r e m o u n t ， 删 除 来 清 除 病 毒 。 需 要 刷 回 b o o t . i m g 来 清 除 病 毒 ， 增 大 清 除 难 度 。 如 病 毒 o l d b o t 、 地 狱 火 。 创 建 守 护 进 程 创 建 守 护 进 程 ， 时 刻 监 控 自 身 进 程 或 文 件 ， 当 进 程 被 结 束 或 者 并 文 件 被 删 除 时 及 时 启 动 进 程 或 恢 复 病 毒 文 件 。 如 ： 病 毒 g h o s t p u s h ， 舞 毒 蛾 。 修 改 病 毒 隐 藏 权 限 病 毒 给 衍 生 文 件 和 a p k 包 设 置 隐 藏 属 性 （ + i ） ， 使 其 无 法 被 删 除 ， 无 法 被 卸 载 。 l i n u x 文 件 系 统 可 以 设 置 文 件 隐 藏 属 性 ， 如 下 图 ：
将 文 件 的 属 性 设 置 为   + i   属 性 则 可 以 使 文 件 不 被 删 除 。 如 g h o s t p u s h 病 毒 等 ， 将 自 身 e l f 文 件 设 置 成 + i 属 性 。 3 . 云 控 云 控 由 于 a n d r o i d 系 统 的 碎 片 化 ， 各 子 系 统 的 R O O T 模 式 ， 控 制 方 案 有 显 著 不 同 ， 使 病 毒 大 量 采 取 云 端 控 制 的 方 案 ， 使 用 云 控 的 方 式 可 以 根 据 不 同 的 子 系 统 下 载 不 同 的 R O O T 方 案 ， 使 用 不 同 的 控 制 指 令 ， 大 大 减 少 代 码 量 ， 使 得 病 毒 更 加 灵 活 、 可 控 。 通 过 云 控 获 取 R O O T 方 案 病 毒 通 过 上 传 感 染 机 器 的 实 际 环 境 ， 获 取 相 对 应 的 R O O T 方 案 ， 如 d a n p a y 家 族 的 c l i e n t 病 毒 。 c l i e n t 下 载 加 密 的 R O O T 提 权 工 具 压 缩 包 并 根 据 不 同 的 手 机 设 备 下 载 对 应 的 R O O T 工 具 下 载 地 址 和 方 案 ： h t t p : / / a b c l l 0 . u s : 9 0 0 9 / g a m e s d k / d o r o o t . j s p h t t p : / / m y 2 0 1 4 . u s : 9 0 0 9 / g a m e s d k / a d v e r t . j s p 4 . 注 入 注 入
通 过 e l f 注 入 系 统 进 程 ， 修 改 程 序 执 行 或 窃 取 内 部 信 息 。 注 入 浏 览 器 进 行 流 量 劫 持 注 入 浏 览 器 进 程 ， 劫 持 特 定 网 站 ， 可 以 做 诈 骗 ， 钓 鱼 等 非 法 活 动 ， 如 病 毒 A n d r o i d . T R O J . t r i a d a . m c 通 过 e l f 文 件 r i n j e c t 将 病 毒 的 s o 文 件 注 入 到 浏 览 器 进 程 ， 将 系 统 的 l o a d U r l 函 数 注 册 为 静 态 函 数 的 方 式 进 行 h o o k ， 使 得 浏 览 器 在 访 问 特 定 网 站 时 被 劫 持 。 r i n g e c t 注 入 器 （ 通 过 p t r a c e ） ：                         将 病 毒 s o 文 件 / s y s t e m / l i b / l i b r e m e t h . s o 注 入 到 浏 览 器 进 程 中 ： 通 过 h o o k   a n d r o i d . w e b k i t . W e b V i e w 类 的 l o a d U r l 函 数 实 现 劫 持 ： 正 常 访 问 网 络 流 程 ：
木 马 劫 持 后 访 问 网 络 流 程 ：   注 入 社 交 应 用 获 取 聊 天 记 录 病 毒 注 入 “ 手 机 Q Q ” 、 “ 微 信 ” 社 交 应 用 ， 获 取 聊 天 记 录 并 上 传 远 端 服 务 器 ，   通 过 i n j e c t 将 病 毒 s o 文 件 注 入 到 “ 手 机 Q Q ” 或 “ 微 信 ” 的 进 程 中 ， 获 取 其 控 制 权 ， 并 在 s o 中 动 态 加 载 病 毒 的 d e x 文 件 以 便 窃 取 聊 天 内 容 ， 并 上 传 。
E L F 病 毒 所 在 目 录 1 . 所 在 目 录 所 在 目 录 / s y s t e m / b i n 系 统 内 可 执 行 文 件 所 在 路 径 ， 内 存 在 大 量 系 统 服 务 ， 在 系 统 P A T H 内 。 / s y s t e m / x b i n 系 统 内 可 执 行 文 件 所 在 路 径 ， 在 系 统 P A T H 内 。 / s b i n A n d r o i d 系 统 只 读 分 区 ， 里 面 存 放 了 几 个 重 要 守 护 进 程 的 二 进 制 文 件 ， 通 过 更 新 b o o t . i m g 可 将 病 毒 刷 到 此 目 录 。 / s y s t e m / e t c / L i n u x 系 统 的 目 录 ， 存 放 配 置 文 件 。 / s y s t e m / u s r 用 户 文 件 夹 ， 包 含 共 享 、 键 盘 布 局 、 时 间 区 域 文 件 等 。 / d a t a / l o c a l / t m p / d a t a 目 录 中 的 可 以 提 权 目 录 ， 一 般 用 来 运 行 可 执 行 文 件 2 . 目 录 特 点 目 录 特 点 目 录 占 比 图 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理