搜索

[15050] 2020-02-23_网络安全GooglePlay恶意软件分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-02-23_网络安全GooglePlay恶意软件分析 网 络 安 全   G o o g l e   P l a y 恶 意 软 件 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 2 - 2 3 最 近 在 最 近 在 G o o g l e   P l a y 上 发 现 了 多 个 恶 意 应 用 程 序 （ 由 上 发 现 了 多 个 恶 意 应 用 程 序 （ 由 T r e n d   M i c r o 检 测 为 检 测 为 A n d r o i d O S _ B a d B o o s t e r . H R X ） ， 它 们 ） ， 它 们 能 够 访 问 远 程 恶 意 广 告 配 置 服 务 器 、 进 行 广 告 欺 诈 并 下 载 多 达 能 够 访 问 远 程 恶 意 广 告 配 置 服 务 器 、 进 行 广 告 欺 诈 并 下 载 多 达 3 0 0 0 多 个 恶 意 软 件 变 体 或 恶 意 负 载 。 这 些 恶 意 应 多 个 恶 意 软 件 变 体 或 恶 意 负 载 。 这 些 恶 意 应 用 程 序 通 过 清 理 、 组 织 和 删 除 文 件 来 提 高 设 备 性 能 ， 已 被 下 载 超 过 用 程 序 通 过 清 理 、 组 织 和 删 除 文 件 来 提 高 设 备 性 能 ， 已 被 下 载 超 过 4 7 万 次 。 该 攻 击 活 动 自 万 次 。 该 攻 击 活 动 自 2 0 1 7 年 以 来 一 直 很 活 年 以 来 一 直 很 活 跃 ， 跃 ， G o o g l e   P l a y 已 经 从 商 店 中 删 除 了 恶 意 应 用 程 序 。 已 经 从 商 店 中 删 除 了 恶 意 应 用 程 序 。 根 据 分 析 ， 3 0 0 0 个 恶 意 软 件 变 体 或 恶 意 有 效 负 载 会 下 载 到 设 备 上 ， 伪 装 成 设 备 启 动 程 序 或 程 序 列 表 上 不 显 示 图 标 的 系 统 程 序 。 攻 击 者 可 以 使 用 受 影 响 的 设 备 发 表 有 利 于 恶 意 应 用 的 虚 假 评 论 ， 并 通 过 点 击 弹 出 的 广 告 来 进 行 广 告 欺 诈 。
技 术 分 析 技 术 分 析 攻 击 活 动 中 名 为 S p e e d   C l e a n 的 程 序 具 有 提 升 移 动 设 备 性 能 的 功 能 。 使 用 时 应 用 程 序 会 弹 出 广 告 ， 看 上 去 对 于 移 动 应 用 程 序 是 无 害 的 行 为 。 S p e e d   C l e a n 还 能 够 启 动 透 明 的 活 动 背 景 来 隐 藏 恶 意 内 容 。
这 之 后 ， J a v a 包 “ c o m . a d s m o v i n g ” 下 名 为 “ c o m . a d s m o v i n g . M a i n S e r v i c e ” 的 恶 意 服 务 将 建 立 与 远 程 广 告 配 置 服 务 器 的 连 接 ， 注 册 新 的 恶 意 安 装 用 户 。 注 册 完 成 后 S p e e d   C l e a n 将 开 始 向 用 户 推 送 恶 意 广 告 ， 恶 意 广 告 内 容 和 木 马 程 序 将 显 示 在 应 用 程 序 的 “ 推 荐 页 面 ” 下 。

图 6 为 恶 意 软 件 流 量 。 在 安 装 了 “ a l p s - 1 4 0 6 5 . a p k ” 之 后 ， 启 动 程 序 或 设 备 的 程 序 列 表 上 也 不 会 显 示 任 何 应 用 程 序 图 标 。 它 会 添 加 了 一 个 名 为 “ c o m . p h o n e . s h a r e d s t o r a g e ” 的 应 用 程 序 ， 可 以 在 “ 下 载 的 应 用 程 序 ” 找 到 。 与 2 0 1 7 年 检 测 到 的 安 卓 恶 意 软 件 家 族 之 一 A N D R O I D S   T O A S T A M I G O 相 同 ， S p e e d   C l e a n 应 用 程 序 可 以 下 载 恶 意 软 件 变 体 或 有 效 载 荷 ， 从 而 执 行 不 同 的 广 告 欺 诈 。 本 次 攻 击 活 动 中 使 用 的 一 些 典 型 恶 意 广 告 欺 诈 行 为 如 下 ： 1 、 模 拟 用 户 点 击 广 告 。 恶 意 应 用 集 成 在 合 法 的 移 动 广 告 平 台 中 ， 如 谷 歌 A d M o b 和 F a c e b o o k 等 。
2 、 将 来 自 移 动 广 告 平 台 的 应 用 程 序 安 装 到 虚 拟 环 境 中 ， 以 防 止 被 用 户 发 现 。 3 、 诱 使 用 户 启 用 访 问 权 限 ， 停 用 G o o g l e   P l a y   P r o t e c t 的 安 全 保 护 功 能 。 确 保 恶 意 负 载 可 以 下 载 并 安 装 更 多 的 恶 意 应 用 程 序 ， 不 会 被 用 户 发 现 。 4 、 使 用 受 影 响 设 备 发 布 虚 假 评 论 。
5 、 使 用 a c c e s s i b i l i t y 功 能 利 用 G o o g l e 和 F a c e b o o k 帐 户 登 陆 恶 意 软 件 。
从 恶 意 软 件 变 体 以 及 与 此 攻 击 活 动 相 关 的 恶 意 有 效 载 荷 中 获 取 信 息 如 下 ：
还 注 意 到 受 感 染 最 严 重 的 国 家 或 地 区 是 日 本 、 台 湾 、 美 国 、 印 度 和 泰 国 。 可 以 将 国 家 / 地 区 代 码 的 地 理 参 数 值 修 改 为 任 何 国 家 / 地 区 代 码 ， 甚 至 是 随 机 的 不 存 在 的 国 家 / 地 区 代 码 ， 远 程 广 告 配 置
服 务 器 始 终 返 回 恶 意 内 容 ， 但 是 该 活 动 排 除 了 中 国 用 户 。 总 结 总 结 攻 击 者 试 图 通 过 更 为 真 实 的 恶 意 应 用 来 欺 骗 用 户 ， 因 此 用 户 应 在 下 载 任 何 应 用 之 前 应 进 行 仔 细 的 辨 别 。 可 以 通 过 在 商 店 用 户 评 论 来 验 证 应 用 的 合 法 性 。 但 是 ， 恶 意 应 用 程 序 能 够 下 载 有 效 载 荷 并 发 布 虚 假 评 论 。 尽 管 有 很 多 正 面 评 价 ， 但 会 出 现 许 多 不 同 的 用 户 留 下 了 内 容 相 同 正 面 评 价 。 * 参 考 来 源 ： 参 考 来 源 ： t r e n d m i c r o ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理