搜索

[11949] 2017-10-30_VirtualApp技术黑产利用研究报告

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-10-30_VirtualApp技术黑产利用研究报告 V i r t u a l A p p 技 术 黑 产 利 用 研 究 报 告 腾 讯 手 机 管 家   F r e e B u f   2 0 1 7 - 1 0 - 3 0 一 、 一 、   前 言 前 言 V i r t u a l A p p （ 以 下 称 （ 以 下 称 V A ） 是 一 个 ） 是 一 个 A p p 虚 拟 化 引 擎 （ 简 称 虚 拟 化 引 擎 （ 简 称 V A ） 。 ） 。 V i r t u a l A p p 创 建 了 一 个 虚 拟 空 间 ， 你 可 以 在 虚 拟 创 建 了 一 个 虚 拟 空 间 ， 你 可 以 在 虚 拟 空 间 内 任 意 的 安 装 、 启 动 和 卸 载 空 间 内 任 意 的 安 装 、 启 动 和 卸 载 A P K ， 这 一 切 都 与 外 部 隔 离 ， 如 同 一 个 沙 盒 。 运 行 在 ， 这 一 切 都 与 外 部 隔 离 ， 如 同 一 个 沙 盒 。 运 行 在 V A 中 的 中 的 A P K 无 需 在 无 需 在 A n d r o i d 系 统 中 安 装 即 可 运 行 ， 也 就 是 我 们 熟 知 的 多 开 应 用 。 系 统 中 安 装 即 可 运 行 ， 也 就 是 我 们 熟 知 的 多 开 应 用 。 V A 免 安 装 运 行 A P K 的 特 性 使 得 V A 内 应 用 与 V A 相 比 具 有 不 同 的 应 用 特 征 ， 这 使 得 V A 可 用 于 免 杀 。 此 外 ， V A 对 被 多 开 应 用 有 较 大 权 限 ， 可 能 构 成 安 全 风 险 。 本 报 告 首 先 简 要 介 绍 V A 的 多 开 实 现 原 理 ， 之 后 分 析 目 前 在 灰 色 产 业 的 应 用 ， 针 对 在 免 杀 的 应 用 ， 安 全 云 对 此 的 应 对 ， 并 给 出 色 情 应 用 作 为 例 子 。 另 一 方 面 ， 通 过 对 样 本 分 析 ， 展 示 了 V A 对 于 安 装 在 其 内 应 用 的 高 度 控 制 能 力 ， 及 其 带 来 的 安 全 风 险 。 最 后 对 本 报 告 进 行 总 结 。 二 、 二 、   V i r t u a l A p p 原 理 原 理 A n d r o i d 应 用 启 动 A c t i v i t y 时 ， 无 论 通 过 何 种 A P I 调 用 ， 最 终 会 调 用 到 A c t i v i t y M a n a g e r . s t a r t A c t i v i t y ( ) 方 法 。 该 调 用 为 远 程 B i n d e r 服 务 ( 加 速 该 调 用 ， A n d r o i d 应 用 会 先 在 本 地 进 程 查 找 B i n d e r 服 务 缓 存 ， 如 果 找 到 ， 则 直 接 调 用 。 V A 介 入 了 该 调 用 过 程 ， 通 过 以 下 方 式 ： 1 .   替 换 本 地 的 A c t i v i t y M a n a g e r S e r v i s e   B i n d e r 服 务 为 V A 构 造 的 代 理 对 象 ， 以 接 管 该 调 用 。 这 一 步 通 过 反 射 实 现 。 2 .   接 管 后 ， 当 调 用 s t a r t A c t i v i t y 启 动 多 开 应 用 时 ， V A 修 改 I n t e n t 中 的 A c t i v i t y 为 V A 中 己 声 明 的 占 位 A c t i v i t y 。 这 一 步 的 目 的 是 绕 过 A n d r o i d 无 法 启 动 未 在 A n d r o i d M a n i f e s t . x m l 中 声 明 A c t i v i t y 的 限 制 。 3 .   在 被 多 开 应 用 进 程 启 动 后 ， 增 加 A c t i v i t y T h r e a d . m H . m C a l l b a c k 的 消 息 处 理 回 调 。 这 一 步 接 管 了 多 开 应 用 主 线 程 的 消 息 回 调 。 在 以 上 修 改 的 基 础 上 ， 多 开 应 用 的 A c t i v i t y 启 动 过 程 可 分 为 以 下 两 步 骤 ： 步 骤 一 步 骤 一   修 改 修 改 A c t i v i t y 为 己 声 明 的 为 己 声 明 的 S t u b A c t i v i t y
步 骤 二 步 骤 二   m C a l l b a c k 从 从 I n t e n t 中 恢 复 中 恢 复 A c i t i v t y 信 息 信 息 A M S ： A n d r o i d 系 统 的 A c t i v i t y M a n a g e r S e r v i c e ， 是 管 理 A c t i v i t y 的 系 统 服 务 V A M S ： V A 用 于 管 理 多 开 应 用 A c t i v i t y 的 服 务 ， 大 量 A P I 名 称 与 A M S 雷 同 。 V A p p ： 被 多 开 应 用 所 在 的 进 程 ， 该 进 程 实 际 为 V A 派 生 的 进 程 。 由 图 可 知 ， V A 在 A M S 和 V A p p 中 通 过 增 加 V A M S 对 启 动 I n t e n t 进 行 了 修 改 ， 实 现 了 对 A n d r o i d 系 统 的 欺 骗 ， 而 当 应 用 进 程 启 动 后 ， 还 原 A c t i v i t y 信 息 。 通 过 自 定 义 C l a s s l o a d e r 令 使 得 A n d r o i d 加 载 并 构 造 了 未 在 V A 的 A n d r o i d M a n i f e s t . x m l 中 声 明 的 A c t i v i t y 。 以 上 是 启 动 过 程 的 简 化 描 述 ， 实 际 上 ， V A 对 大 量 A n d r o i d   系 统 A P I 进 行 了 H o o k ， 这 使 得 运 行 在 其 中 的 应 用 在 V A 的 控 制 下 ， 为 V A 的 应 用 带 来 可 能 性 。 三 、 三 、   在 灰 色 产 业 的 应 用 在 灰 色 产 业 的 应 用 3 . 1   免 杀 免 杀 V A 等 多 开 工 具 将 A n d r o i d 系 统 与 V A 内 的 应 用 隔 离 ， 使 得 应 用 的 静 态 特 征 被 掩 盖 ， 目 前 己 有 恶 意 应 用 使 用 V A 对 自 身 重 打 包 ， 重 打 包 后 的 应 用 包 名 、 软 件 名 与 原 应 用 不 同 ， 从 而 实 现 免 杀 。 安 全 云 使 用 动 态 检 测 关 联 恶 意 应 用 和 V A 的 方 式 应 对 该 免 杀 技 术 。 免 杀 的 常 见 做 法 是 ： 恶 意 应 用 加 密 后 打 包 在 V A 内 ， 由 V A 在 运 行 时 解 密 A P K ， 将 恶 意 应 用 的 A P K 安 装 到 V A 内 并 运 行 。 经 过 打 包 后 ， V A 用 的 包 名 、 证 书 可 以 与 恶 意 应 用 不 同 ， 资 源 文 件 、 二 进 制 库 文 件 与 恶 意 应 用 相 互 独 立 。 基 于 包 名 、 证 书 等 特 征 维 度 的 静 态 检 测 方 式 的 准 确 性 受 到 影 响 。 如 图 ， 当 静 态 引 擎 对 V A 应 用 检 测 时 ， 获 得 的 应 用 信 息 （ 包 名 、 证 书 、 代 码 等 ） 是 V A 的 信 息 ， 没 有 恶 意 特 征 。 而 当 V A 运 行 时 ， 可 以 解 密 恶 意 应 用 A P K ， 通 过 反 射 等 技 术 欺 骗 A n d r o i d 系 统 运 行 未 安 装 在 系 统 中 的 A P K ， 实 现 了 免 杀 。
传 统 静 态 检 测 方 式 针 对 该 免 杀 方 式 ， 安 全 云 的 A P K 动 态 检 测 实 现 了 V A 内 应 用 A P K 的 自 动 化 提 取 ， 可 将 V A 母 包 与 恶 意 应 用 A P K 子 包 进 行 关 联 查 杀 。 如 图 ， 动 态 引 擎 安 装 并 启 动 A P K ， 当 识 别 出 是 V A 应 用 时 ， 提 取 出 V A 内 的 己 解 密 的 子 包 ， 对 提 取 的 子 包 进 行 检 测 。 根 据 子 包 检 测 结 果 综 合 判 定 母 包 安 全 性 ， 并 对 母 包 的 安 全 风 险 进 行 标 记 查 杀 。 动 态 检 测 查 杀 示 意 图
免 杀 案 例 免 杀 案 例   色 情 应 用 色 情 应 用 2 0 1 7 年 8 月 以 来 ， 安 全 云 监 测 到 部 分 色 情 应 用 使 用 V A 的 对 自 身 打 包 ， 以 达 到 绕 过 安 全 检 测 的 目 的 。 这 些 应 用 使 用 了 随 机 的 包 名 和 软 件 名 ， 并 且 均 对 恶 意 应 用 子 包 进 行 了 加 密 。 部 分 包 名 如 表 所 示 ： 从 动 态 检 测 引 擎 提 取 的 子 包 看 ， 一 个 色 情 应 用 子 包 对 应 的 带 V A 壳 的 母 包 （ S H A 1 维 度 ） 数 量 从 1 到 5 2 9 不 等 。 2 7 个 色 情 A P K 共 对 应 1 4 6 4 个 V A 母 包 。
该 类 应 用 会 以 各 种 理 由 诱 导 用 户 升 到 更 高 等 级 的 V I P 不 断 支 付 ： 读 取 用 户 短 信 收 件 箱 ：
并 且 可 以 通 过 远 程 服 务 器 控 制 应 用 是 否 运 行 ， 控 制 支 付 宝 和 微 信 支 付 的 开 启 以 逃 避 支 付 平 台 打 击 ： 目 前 该 类 色 情 应 用 的 V A 母 包 和 子 包 均 己 被 标 记 为 灰 色 。 3 . 2   重 打 包 重 打 包 相 较 于 以 往 反 编 译 后 插 入 代 码 进 行 打 包 编 译 的 方 式 ， 使 用 V A 进 行 重 打 包 具 有 以 下 优 点 ： 1 .   不 需 要 对 原 应 用 进 行 反 编 译 修 改 。 不 需 要 对 原 应 用 进 行 反 编 译 修 改 。 由 于 V A 是 多 开 工 具 ， 这 一 优 点 是 显 然 的 。 传 统 的 重 打 包 方 式 是 对 应 用 进 行 反 编 译 成 S m a l i 代 码 ， 对 A p p l i c a t i o n 类 或 A c t i v i t y 进 行 修 改 ， 插 入 广 告 展 示 等 代 码 ， 再 重 编 译 打 包 回 去 。 而 V A 重 打 包 的 应 用 只 要 让 应 用 运 行 在 V A 内 即 可 。 2 .   有 效 规 避 重 打 包 检 测 有 效 规 避 重 打 包 检 测 应 用 可 能 通 过 检 测 签 名 、 包 名 等 方 式 检 查 是 否 被 修 改 。 而 V A 对 A n d r o i d 系 统 的 A P I 进 行 了 H o o k ， 其 中 包 括 P a c k a g e M a n a g e r 的 A P I ， 这 些 A P I 用 于 获 得 包 括 签 名 在 内 的 软 件 包 信 息 。 3 .   通 用 性 强 通 用 性 强
同 样 的 V A 代 码 未 经 修 改 就 可 打 包 众 多 应 用 ， 可 批 量 制 造 多 开 应 用 。 4 .   功 能 众 多 功 能 众 多 由 于 应 用 运 行 在 V A 进 程 内 ， V A 代 码 具 有 与 应 用 等 同 的 权 限 ， 从 下 面 的 例 子 可 知 V A 能 做 到 包 括 但 不 限 于 ： 模 拟 点 击 、 截 图 、 在 A c t i v i t y 创 建 时 插 入 广 告 。 以 以 某 一 类 重 打 包 样 本 为 例 ， 应 用 被 重 打 包 后 启 动 界 面 增 加 一 个 插 屏 广 告 ， 如 图 ： 点 击 插 屏 广 告 后 ， 将 下 载 对 应 的 应 用 （ 图 中 为 “ 斗 地 主 ” 及 ” 炸 金 花 ” ） 并 安 装 到 V A 中 ， 并 在 桌 面 添 加 图 标 。 区 别 于 其 他 应 用 推 广 方 式 ， 此 种 方 式 安 装 的 应 用 不 必 通 过 A n d r o i d 的 包 管 理 器 进 行 安 装 ， 必 要 时 也 可 静 默 安 装 。 除 了 增 加 启 动 时 的 插 屏 广 告 ， 该 应 用 还 有 以 下 行 为 1 .   检 查 反 病 毒 软 件 检 查 反 病 毒 软 件 检 查 手 机 上 是 否 安 装 了 反 病 毒 软 件 ， 如 果 存 在 ， 则 不 连 接 服 务 器 获 取 命 令 。 反 病 毒 软 件 列 表 由 服 务 器 下 发 ： 内 容 如 下 ：
主 流 的 手 机 安 全 应 用 如 3 0 、 Q Q 手 机 管 家 、 L E 安 全 大 师 等 均 在 该 列 表 中 。 如 果 存 在 ， 则 不 连 接 服 务 器 读 取 命 令 脚 本 ： 2 .   启 动 应 用 启 动 应 用 可 由 服 务 器 下 发 指 令 控 制 运 行 V A 内 的 指 定 应 用 ： 3 .   模 拟 点 击 模 拟 点 击 可 对 运 行 在 V A 内 的 应 用 进 行 点 击 。
1 )   当 V A 内 应 用 启 动 时 注 册 B r o a d c a s t   R e c e i v e r ： 2 )   接 收 服 务 器 脚 本 ， 发 送 广 播 3 )   执 行 点 击 脚 本 （ 1 ）   获 得 D e c o r V i e w s ， 该 V i e w 为 A n d r o i d 应 用 的 底 层 V i e w 。 因 为 被 多 开 的 应 用 跑 在 V A 内 ， 因 此 V A 有 权 限 对 应 用 类 进 行 操 作 。
（ 2 ）   对 ( 1 ) 获 得 的 V i e w ， 调 用 V i e w . d i s p a t c h T o u c h E v e n t ( ) 模 拟 触 摸 操 作 ， 支 持 的 操 作 有 ， A C T I O N _ D O W N （ 按 下 ） 、 A C T I O N _ M O V E （ 按 下 和 抬 起 之 间 的 操 作 ） 、 A C T I O N _ U P （ 抬 起 ） 。 （ 3 ）   值 得 注 意 的 是 ， 只 有 当 用 户 不 存 在 （ 未 点 亮 屏 幕 ， 未 锁 屏 ） 时 ， 服 务 器 的 任 务 才 会 执 行 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理