搜索

[12885] 2018-06-29_别让你的手机成为恶意软件的温床

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2018-06-29_别让你的手机成为恶意软件的温床 别 让 你 的 手 机 成 为 恶 意 软 件 的 温 床 暗 影 安 全 实 验 室   F r e e B u f   2 0 1 8 - 0 6 - 2 9 一 、 导 读 一 、 导 读 手 机 早 已 成 为 人 们 生 活 中 不 可 或 缺 的 一 部 分 ， 在 娱 乐 ， 移 动 支 付 ， 社 交 等 方 面 都 起 到 举 足 轻 重 的 作 用 ， 可 以 说 在 当 今 社 会 手 机 就 是 人 们 重 要 的 “ 生 存 ” 工 具 之 一 。 但 是 在 享 受 时 代 带 给 我 们 的 福 利 的 同 时 ， 一 些 “ 不 怀 好 意 ” 的 人 们 也 伺 机 而 动 ， 用 各 种 非 法 的 手 段 从 众 多 的 网 民 身 上 谋 取 利 润 ， 因 为 这 些 人 的 存 在 ， 严 重 的 损 害 了 普 通 人 的 利 益 ， 无 论 是 去 年 爆 发 的 勒 索 病 毒 ， 还 是 今 年 的 银 行 木 马 ， 这 些 安 全 事 件 都 应 让 我 们 警 醒 ， 在 互 联 网 时 代 我 们 还 有 很 多 事 要 做 ， 我 们 的 安 全 道 路 任 重 而 道 远 。 二 、 病 毒 威 胁 介 绍 二 、 病 毒 威 胁 介 绍 2 . 1 　 一 不 小 心 你 就 中 招 　 一 不 小 心 你 就 中 招 近 日 ， 平 台 监 测 到 一 款 新 型 病 毒 ， 经 过 安 全 人 员 研 究 ， 发 现 其 伪 造 成 正 常 内 存 清 理 软 件 ， 在 点 击 后 隐 藏 图 标 ， 转 入 后 台 运 行 ， 上 传 用 户 信 息 ， 下 载 执 行 恶 意 插 件 ， 对 用 户 信 息 安 全 造 成 极 大 威 胁 ， 为 了 保 护 广 大 网 民 的 安 全 ， 对 此 病 毒 和 服 务 器 地 址 进 行 了 上 报 处 理 ， 在 根 源 上 断 绝 病 毒 的 传 播 。 2 . 2 　 你 的 手 机 如 何 成 为 了 病 毒 的 温 床 ？ 　 你 的 手 机 如 何 成 为 了 病 毒 的 温 床 ？ 该 病 毒 仿 照 正 常 手 机 清 理 软 件 ， 混 淆 视 听 ， 欺 骗 用 户 下 载 ， 并 且 在 运 行 后 隐 藏 图 标 转 而 后 台 运 行 。 应 用 运 行 状 态 ， 如 图 2 - 1 ， 图 2 - 2 所 示 ： 图 2 - 1   应 用 安 装 状 态 图 2 - 2 应 用 运 行 状 态 2 . 2 . 1 　 隐 藏 图 标 　 隐 藏 图 标
通 过 包 管 理 器 设 置 图 片 隐 藏 ， 如 图 2 - 3 所 示 ： 图 2 - 3 隐 藏 图 标 2 . 2 . 2 　 软 件 后 台 驻 留 运 行 　 软 件 后 台 驻 留 运 行 通 过 接 受 广 播 启 动 服 务 ， 如 图 2 - 4 ， 图 2 - 5 所 示 ： 图 2 - 4 接 受 广 播 形 式 图 2 - 5 广 播 开 启 后 台 服 务 在 A n d r o i d 版 本 5 . 0 以 上 该 样 本 则 采 用 了 J o b S c h e d u l e 机 制 进 行 后 台 进 程 保 活 ， 如 图 2 - 6 所 示 ： 图 2 - 6 J o b S c h e d u l e 机 制 后 台 进 程 保 活 2 . 2 . 3 　 上 传 用 户 数 据 　 上 传 用 户 数 据
病 毒 在 用 户 不 知 情 的 情 况 下 发 送 数 据 包 ， 私 自 获 取 大 量 用 户 设 备 信 息 ， 并 且 发 送 到 指 定 u r l ， 如 图 2 - 7 所 示 ： 图 2 - 7   抓 取 上 传 数 据 包 获 取 用 户 设 备 相 关 代 码 信 息 ， 如 图 2 - 8 所 示 ： 图 2 - 8 获 取 用 户 设 备 相 关 信 息 上 传 数 据 包 中 的 用 户 设 备 信 息 内 容 （ 解 密 后 结 果 ） ， 如 图 2 - 9 所 示 ： 图 2 - 9   上 传 数 据 包 信 息 图 2 . 2 . 4 　 与 远 程 服 务 器 交 互 　 与 远 程 服 务 器 交 互 病 毒 运 行 过 后 会 向 主 控 服 务 器 发 送 数 据 包 ， 然 后 根 据 主 控 返 回 的 结 果 执 行 下 一 步 的 行 动 ， 如 图 2 - 1 0 ， 图 2 - 1 1 所 示 ： 2 - 1 0 向 主 控 服 务 器 发 送 数 据 包 抓 包 得 到 服 务 器 返 回 的 结 果 ， 我 们 可 以 大 致 判 断 此 时 病 毒 主 控 服 务 开 启 ， 但 广 告 推 送 的 功 能 属 于 关 闭 状 态 。
图 2 - 1 1 服 务 器 返 回 的 结 果 结 果 表 明 服 务 正 常 运 行 ， 病 毒 向 U R L 发 送 请 求 ， 确 认 下 载 插 件 的 地 址 ， 下 载 插 件 ， 运 行 插 件 如 图 2 - 1 2 ， 图 2 - 1 3 ， 图 2 - 1 4 ， 图 2 - 1 5 所 示 ： 图 2 - 1 2 向 服 务 器 返 回 的 结 果 图 2 - 1 3 下 载 插 件
图 2 - 1 4 下 载 插 件 图 2 - 1 5 运 行 插 件 2 . 2 . 5 　 利 用 插 件 化 技 术 隐 秘 执 行 　 利 用 插 件 化 技 术 隐 秘 执 行 按 照 常 理 病 毒 需 要 找 准 时 机 运 行 这 些 插 件 ， 但 并 不 是 直 接 在 A n d r o i d 系 统 层 直 接 运 行 。 这 里 用 到 了 一 个 最 近 比 较 流 行 的 插 件 化 技 术 。 在 这 个 样 本 中 ， 病 毒 作 者 利 用 了 一 款 开 源 的 多 开 应 用 框 架 V i r t u a l A p p ， 运 用 此 框 架 可 以 使 得 插 件 的 作 用 效 果 大 大 增 强 ， 因 为 此 框 架 使 的 插 件 实 际 是 在 A n d r o i d 系 统 与 外 部 应 用 的 中 间 层 运 行 ， 插 件 的 运 行 受 系 统 本 身 的 限 制 将 会 减 少 很 多 ， 近 似 于 r o o t 的 环 境 给 病 毒 创 造 了 绝 妙 的 温 床 ， 而 虚 拟 机 的 环 境 又 使 得 静 态 的 病 毒 检 测 方 法 无 法 生 效 ， 提 高 了 查 杀 难 度 ， 结 合   V i r t u a l A p p 的 病 毒 确 实 可 以 肆 无 忌 惮 做 很 多 事 。 V i r t u a l A P P 实 现 程 序 内 部 运 行 大 致 遵 循 以 下 流 程 ， 首 先 代 理 程 序 运 行 所 需 系 统 各 种 服 务 ， 使 运 行 程 序 和 V A 为 合 为 一 体 ， 其 次 修 正 应 用 数 据 ， 保 存 原 有 数 据 ， 然 后 数 据 整 合 在 V A 中 代 理 运 行 ， 最 终 交 于 系 统 执 行 。 V i r t u a l A P P 实 现 多 开 应 用 的 大 致 逻 辑 如 图 2 - 1 6 所 示 ： 图 2 - 1 6 V i r t u a l A P P 多 开 流 程 图
该 病 毒 的 文 件 结 构 以 及 运 行 逻 辑 如 图 2 - 1 7 ， 图 2 - 1 8 所 示 ： 图 2 - 1 7 应 用 文 件 结 构 图 2 - 1 8 病 毒 运 行 流 程 2 . 2 . 6 　 破 坏 杀 软 主 动 防 御 　 破 坏 杀 软 主 动 防 御 对 服 务 器 下 发 的 插 件 分 析 ， 发 现 存 在 恶 意 行 为 。 经 过 抓 包 后 处 理 ， 我 们 发 现 程 序 经 过 解 密 最 终 会 生 成 2 个 J a r 包 ， 如 图 2 - 1 9 所 示 ： 图 2 - 1 9 生 成 的 恶 意 J a r 包 该 j a r 包 在 运 行 后 会 主 动 破 坏 系 统 中 存 在 的 主 防 ， 并 且 会 重 启 手 机 ， 目 前 可 以 确 认 会 被 破 坏 主 防 的 杀 软 有 L B E 安 全 大 师 以 及 3 6 0 的 主 动 防 御 。 2 . 3 　 主 控 地 址 功 能 　 主 控 地 址 功 能 主 控 地 址 主 控 地 址 功 能 功 能 h t t p : / / a p i . * . t o p : 9 0 0 0 / a p i / c h a n n e l / c f g ? * * 确 定 整 个 服 务 的 功 能 状 态 。 h t t p : / / w w w . * a r e / c r / s v / g e t G o F i l e ? n a m e = g o p l a y s d k _ s t a t i s t i c s _ s 2 5 0 . d a t 获 取 插 件 下 载 地 址 。
h t t p : / / h c * * d a y : 8 0 8 2 / s p d u m r e a d / s e r v i c e / r t L o g R e c o r d 作 为 获 取 设 备 信 息 的 地 址 。 h t t p : / / a l o * . c o m / a p p _ l o g s 基 座 中 包 含 的 友 盟 统 计 模 块 。 h t t p : / / h c . s * * o p / g p f i l e / p f i l e s / 恶 意 插 件 的 下 载 地 址 。 主 控 地 址 主 控 地 址 功 能 功 能 2 . 4 　 主 控 地 址 追 踪 　 主 控 地 址 追 踪 我 们 只 对 其 服 务 器 域 名 进 行 溯 源 ， 通 过 域 名 的 w h o i s 查 询 ， 获 取 到 的 大 部 分 信 息 都 被 隐 藏 ， 包 括 注 册 信 息 ， 联 系 人 ， 公 司 信 息 ， 其 中 只 有 一 个 域 名 信 息 较 为 完 整 ， 如 图 2 - 2 0 所 示 ： 图 2 - 2 0   域 名 溯 源 根 据 基 本 信 息 我 们 大 致 知 道 注 册 人 的 基 本 情 况 ， 根 据 邮 箱 查 找 相 关 信 息 ， 查 看 q q 的 情 况 ， 判 断 是 被 盗 号 过 后 注 册 的 邮 箱 ， 如 图 2 - 2 1 ， 图 2 - 2 2 所 示 ： 图 2 - 2 1 q q 基 本 信 息
图 2 - 2 2 邮 箱 相 关 的 百 度 贴 吧 号 三 、 防 范 及 处 置 建 议 三 、 防 范 及 处 置 建 议 建 议 用 户 提 高 警 觉 性 ， 使 用 软 件 请 到 官 网 下 载 。 到 应 用 商 店 进 行 下 载 正 版 软 件 ， 避 免 从 论 坛 等 下 载 软 件 ， 可 以 有 效 的 减 少 该 类 病 毒 的 侵 害 。 关 注 ” 暗 影 实 验 室 ” 公 众 号 ， 获 取 最 新 实 时 移 动 安 全 状 态 ， 避 免 给 您 造 成 损 失 和 危 害 。 为 防 止 病 毒 变 种 ， 用 户 发 现 已 经 安 装 此 病 毒 的 ， 可 以 请 专 业 人 员 分 析 此 病 毒 。 安 全 需 要 做 到 防 患 于 未 然 ， 可 以 使 用 恒 安 嘉 新 公 司 的 A P P 威 胁 检 测 与 态 势 分 析 平 台 进 行 分 析 对 A n d r o i d 样 本 提 取 信 息 并 进 行 关 联 分 析 和 检 测 ； 用 户 发 现 感 染 手 机 病 毒 软 件 之 后 ， 可 以 向 “ 1 2 3 2 1 网 络 不 良 与 垃 圾 信 息 举 报 受 理 中 心 ” 或 “ 中 国 反 网 络 病 毒 联 盟 ” 进 行 举 报 ， 使 病 毒 软 件 能 够 第 一 时 间 被 查 杀 和 拦 截 。 声 明 声 明 本 报 告 内 容 不 代 表 任 何 企 业 或 任 何 机 构 的 观 点 ， 仅 是 作 者 及 所 在 团 队 作 为 技 术 爱 好 者 在 工 作 之 余 做 的 一 些 尝 试 性 研 究 和 经 验 分 享 。 本 报 告 虽 是 基 于 技 术 团 队 认 为 可 靠 的 信 息 撰 写 ， 团 队 力 求 但 不 保 证 该 信 息 的 准 确 性 和 完 整 性 ， 读 者 也 不 应 该 认 为 该 信 息 是 准 确 和 完 整 的 。 这 是 主 要 是 因 为 如 下 一 些 理 由 （ 包 括 但 不 限 于 ） ： 第 一 ， 互 联 网 的 数 据 无 处 不 在 ， 我 们 所 能 接 触 到 的 是 极 为 有 限 的 抽 样 样 本 ， 本 身 不 具 备 完 整 性 。 第 二 ， 不 同 的 技 术 方 法 获 取 的 数 据 有 一 定 的 局 限 性 。 比 如 ， 终 端 a g e n t 获 取 的 数 据 只 能 涵 盖 已 部 署 终 端 的 范 围 ； 爬 虫 技 术 的 时 效 性 和 完 整 性 受 限 于 爬 虫 的 规 模 和 能 力 ； 网 络 侧 探 针 技 术 受 限 部 署 探 针 的 节 点 数 量 并 只 能 对 活 跃 的 行 为 进 行 感 知 。 第 三 ， 即 使 已 经 纳 入 到 分 析 范 围 的 样 本 ， 也 会 由 于 技 术 团 队 规 则 和 算 法 的 选 择 造 成 统 计 结 论 偏 差 。 第 四 ， 技 术 团 队 所 得 出 的 结 论 仅 仅 反 映 其 数 字 本 身 ， 进 一 步 主 观 得 出 优 劣 性 的 、 排 名 性 的 、 结 论 性 的 观 点 是 危 险 的 。 因 为 安 全 事 件 往 往 伴 随 着 业 务 的 良 性 增 长 ， 开 放 程 度 ， 法 律 法 规 以 及 黑 色 产 业 链 的 演 进 等 多 方 面 的 因 素 ， 是 一 个 复 杂 的 生 态 问 题 。 此 外 ， 团 队 不 保 证 文 中 观 点 或 陈 述 不 会 发 生 任 何 变 更 ， 在 不 同 时 期 ， 团 队 可 发 出 与 本 报 告 所 载 资 料 、 意 见 及 推 测 不 一 致 的 报 告 。 团 队 会 适 时 更 新 相 关 的 研 究 ， 但 可 能 会 因 某 些 规 定 而 无 法 做 到 。 最 后 ， 即 使 未 经 作 者 的 书 面 授 权 许 可 ， 任 何 人 也 可 以 引 用 、 转 载 以 及 向 第 三 方 传 播 。 但 希 望 同 时 能 附 上 完 整
的 原 文 或 至 少 原 始 出 处 。 这 样 的 考 虑 在 于 ： 第 一 ， 避 免 选 择 性 的 部 分 引 用 造 成 的 不 必 要 的 误 解 ； 其 次 ， 避 免 某 些 内 容 的 错 误 经 原 作 者 发 现 并 及 时 调 整 后 没 有 体 现 在 转 载 的 文 中 。 感 谢 大 家 的 理 解 ！ *   本 文 作 者 ： 暗 影 安 全 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 暗 影 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理