搜索

[10522] 2016-09-20_安天AVL联合小米MIUI，首擒顽固病毒“不死鸟”

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2016-09-20_安天AVL联合小米MIUI，首擒顽固病毒“不死鸟” 安 天 A V L 联 合 小 米 M I U I ， 首 擒 顽 固 病 毒 “ 不 死 鸟 ” A V L T e a m 认 证 厂 商   F r e e B u f   2 0 1 6 - 0 9 - 2 0 不 死 鸟 作 为 希 腊 神 话 中 的 一 种 怪 物 ， 拥 有 不 断 再 生 的 能 力 ， 每 当 寿 限 将 至 时 ， 它 会 在 巢 穴 中 自 焚 ， 并 在 三 天 后 重 新 复 活 。 就 在 近 期 ， 安 天 A V L 移 动 安 全 团 队 和 小 米 M I U I 安 全 中 心 发 现 了 病 毒 界 的 “ 不 死 鸟 ” ， 其 顽 固 程 度 之 深 ， 用 户 很 难 通 过 常 规 的 卸 载 手 段 清 除 该 病 毒 。 这 款 病 毒 名 为 这 款 病 毒 名 为 F u s h i c h o ， 一 旦 运 行 ， 它 首 先 会 通 过 一 系 列 手 段 攻 击 手 机 的 ， 一 旦 运 行 ， 它 首 先 会 通 过 一 系 列 手 段 攻 击 手 机 的 “ 免 疫 系 统 免 疫 系 统 ” ： 联 网 下 载 ： 联 网 下 载 r o o t 工 具 对 用 户 手 机 进 行 提 工 具 对 用 户 手 机 进 行 提 权 处 理 ， 进 一 步 根 据 文 件 中 的 权 处 理 ， 进 一 步 根 据 文 件 中 的 s q l 语 句 将 自 身 插 入 某 知 名 杀 毒 软 件 白 名 单 中 ， 并 通 过 语 句 将 自 身 插 入 某 知 名 杀 毒 软 件 白 名 单 中 ， 并 通 过 “ p m   d i s a b l e ” 命 令 禁 用 某 知 名 杀 毒 软 件 命 令 禁 用 某 知 名 杀 毒 软 件 ， 致 使 手 机 安 全 防 护 功 能 全 线 崩 溃 。 ， 致 使 手 机 安 全 防 护 功 能 全 线 崩 溃 。 接 下 来 F u s h i c h o 病 毒 会 替 换 系 统 启 动 脚 本 文 件 ， 实 现 开 机 自 启 动 并 获 得 r o o t 权 限 。 而 为 了 使 其 自 身 成 为 手 机 中 唯 一 具 有 r o o t 权 限 的 应 用 ， 该 病 毒 会 删 除 手 机 中 其 他 r o o t 程 序 、 s u 文 件 。 除 此 之 外 ， 由 于 病 毒 应 用 被 锁 在 系 统 目 录 下 ， 用 户 很 难 通 过 常 规 卸 载 手 段 清 除 该 病 毒 。 至 此 ， F u s h i c h o 病 毒 将 紧 紧 扎 根 在 手 机 中 ， 像 不 死 鸟 一 般 难 以 消 灭 。 同 时 该 病 毒 将 通 过 联 网 获 取 恶 意 扣 费 指 令 对 手 机 进 行 长 期 的 扣 费 并 下 载 其 他 恶 意 扣 费 软 件 ， 使 感 染 用 户 遭 受 巨 大 的 财 产 损 失 。 接 下 来 ， 我 们 将 对 这 只 病 毒 界 的 接 下 来 ， 我 们 将 对 这 只 病 毒 界 的 “ 不 死 鸟 不 死 鸟 ” 进 行 详 细 的 解 剖 分 析 。 进 行 详 细 的 解 剖 分 析 。 F u s h i c h o 病 毒 运 行 流 程 图 病 毒 运 行 流 程 图
以 下 为 详 细 技 术 分 析 以 下 为 详 细 技 术 分 析 私 自 提 权 私 自 提 权 F u s h i c h o 病 毒 运 行 时 加 载 本 地 P x i v u u r a u u . s o 文 件 ， 解 密 资 源 文 件 中 的 i c o . p n g 文 件 来 释 放 子 包 o k o . j a r 。 子 包 释 放 后 被 动 态 加 载 ， 并 在 本 地 解 密 。 F u s h i c h o 病 毒 获 取 到 提 权 工 具 下 载 地 址 后 下 载 并 解 密 ， 获 取 提 权 工 具 包 c a b . z i p ， 解 压 并 加 载 其 中 的 d a t a . j a r 文 件 ， 对 用 户 手 机 提 权 。 获 取 提 权 工 具 下 载 地 址 ：
解 压 后 的 文 件 如 下 所 示 ： 各 文 件 功 能 及 作 用 如 下 表 所 示 ： 提 权 工 具 包 结 构 ：
将 自 身 写 入 某 知 名 杀 毒 软 件 白 名 单 将 自 身 写 入 某 知 名 杀 毒 软 件 白 名 单 F u s h i c h o 病 毒 运 行 时 解 密 r o o t 工 具 包 中 的 q l 文 件 获 取 将 自 身 插 入 某 知 名 杀 毒 软 件 白 名 单 的 s q l 语 句 , 通 过 q l e x e c 文 件 打 开 数 据 库 并 执 行 s q l 语 句 ， 将 自 身 插 入 某 知 名 杀 毒 软 件 白 名 单 中 来 逃 避 检 测 。 q l 文 件 内 容 如 下 ：
删 除 提 权 相 关 文 件 删 除 提 权 相 关 文 件 F u s h i c h o 病 毒 在 获 得 r o o t 权 限 后 会 删 除 手 机 中 其 他 的 r o o t 相 关 文 件 和 a p k 程 序 , 将 下 载 提 权 工 具 包 c a b . z i p 中 的 s u 文 件 分 别 重 定 向 到 / s y s t e m / x b i n / . s y s d ， / s y s t e m / b i n / a n d r o i d . s y s ， / s y s t e m / e t c / a n d r o i d . s y s ， / s y s t e m / e t c / a n d r o i d . s y s 中 。 删 除 其 他 r o o t 权 限 ：
将 s u 文 件 重 定 向 到 系 统 目 录 中 ：
禁 用 某 知 名 杀 毒 软 件 禁 用 某 知 名 杀 毒 软 件 F u s h i c h o 病 毒 通 过 “ p m   d i s a b l e ” 命 令 禁 用 某 知 名 杀 毒 软 件 ， 将 该 软 件 停 止 使 用 ， 并 隐 藏 图 标 和 已 安 装 应 用 列 表 中 的 展 示 ， 致 使 用 户 无 法 找 到 该 应 用 也 无 法 重 新 安 装 该 应 用 。 为 了 验 证 该 命 令 的 效 果 ， 我 们 测 试 了 一 下 ： S t e p 1 ： 安 装 某 知 名 杀 毒 软 件 ， 可 以 在 已 安 装 应 用 程 序 中 看 到 该 应 用 ：
S t e p 2 ： 使 用 p m   d i s a b l e 命 令 ： S t e p 3 ： 在 已 安 装 应 用 中 查 找 该 应 用 ， 已 经 找 不 到 该 应 用 了 , 说 明 该 应 用 已 被 成 功 禁 用 S t e p 4 ： 用 命 令 行 工 具 查 看 d a t a / a p p 下 的 应 用 列 表 ， 可 以 看 出 该 应 用 是 存 在 的 ： S t e p 5 ： 如 果 尝 试 在 手 机 中 再 次 安 装 该 应 用 ， 提 示 已 安 装 ：
替 换 系 统 脚 本 文 件 替 换 系 统 脚 本 文 件 F u s h i c h o 病 毒 运 行 时 会 替 换 系 统 的 启 动 脚 本 文 件 i n s t a l l - r e c o v e r y . s h 、 i n s t a l l - r e c o v e r y - 2 . s h ， 新 的 脚 本 文 件 将 在 手 机 启 动 后 立 即 给 F u s h i c h o 病 毒 赋 予 r o o t 权 限 。 脚 本 运 行 时 以 守 护 进 程 的 形 式 启 动 对 应 目 录 下 的 . s y s d 和 a n d r o i d . s y s 文 件 恶 意 扣 费 恶 意 扣 费 F u s h i c h o 病 毒 的 扣 费 模 块 通 过 监 听 用 户 解 锁 、 网 络 变 化 以 及 手 机 开 机 的 系 统 广 播 启 动 ， 付 费 模 块 启 动 后 联 网 获 取 付 费 短 信 数 据 和 要 拦 截 的 短 信 关 键 字 。 并 联 网 向 h x x p : / /   w w w . m m c h o n g [ . ] c o m 上 传 用 户 设 备 信 息 ， 获 取 短 信 相 关 扣 费 短 信 数 据 。
扣 费 短 信 数 据 解 密 后 如 下 ， 其 中 字 段 p o r t 、 c m d 对 应 的 是 要 发 送 的 号 码 和 内 容 ， 字 段 h p o r t 、 h c m d 对 应 的 是 要 拦 截 的 号 码 和 短 信 内 容 ， F u s h i c h o 病 毒 通 过 以 上 字 段 进 行 恶 意 扣 费 而 用 户 无 法 感 知 。 此 外 F u s h i c h o 病 毒 还 会 拦 截 包 含 “ 银 行 ” 和 “ 快 递 ” 关 键 字 段 的 短 信 。 在 接 收 到 包 含 m s g 字 段 的 值 的 短 信 时 还 会 自 动 回 复 短 信 或 联 网 发 送 拦 截 的 短 信 。 推 送 恶 意 应 用 推 送 恶 意 应 用 F u s h i c h o 病 毒 运 行 时 解 密 r o o t 工 具 包 中 的 d a t a 0 文 件 , 通 过 解 析 文 件 中 的 指 令 将 r o o t 工 具 包 中 的 恶 意 应 用 推 送 到 系 统 目 录 下 并 启 动 。 在 推 送 时 将 这 些 恶 意 应 用 加 锁 ， 并 修 改 创 建 时 间 为 2 0 0 8 - 0 1 - 0 1   0 0 : 0 0 ， 伪 装 成 系 统 应 用 让 用 户 难 以 察 觉 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理