搜索

[15305] 2020-04-27_儿童游戏软件中隐藏着Tekya木马风险预警

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-04-27_儿童游戏软件中隐藏着Tekya木马风险预警 儿 童 游 戏 软 件 中 隐 藏 着 T e k y a 木 马 风 险 预 警 暗 影 安 全 实 验 室   F r e e B u f   2 0 2 0 - 0 4 - 2 7 广 告 软 件 通 常 通 过 弹 出 式 窗 口 、 横 幅 广 告 、 内 文 链 接 等 广 告 方 式 来 呈 献 广 告 内 容 ， 主 要 是 为 了 提 高 相 关 网 站 、 广 告 软 件 通 常 通 过 弹 出 式 窗 口 、 横 幅 广 告 、 内 文 链 接 等 广 告 方 式 来 呈 献 广 告 内 容 ， 主 要 是 为 了 提 高 相 关 网 站 、 产 品 知 名 度 。 这 能 为 软 件 开 发 商 带 来 一 定 的 广 告 收 入 。 而 广 告 木 马 软 件 则 通 常 通 过 单 击 链 接 和 其 他 交 互 式 元 素 产 品 知 名 度 。 这 能 为 软 件 开 发 商 带 来 一 定 的 广 告 收 入 。 而 广 告 木 马 软 件 则 通 常 通 过 单 击 链 接 和 其 他 交 互 式 元 素 来 模 拟 网 页 上 的 用 户 操 作 ， 实 现 无 声 地 模 拟 与 广 告 网 站 的 交 互 如 点 击 广 告 提 高 网 站 访 问 率 或 自 动 订 阅 付 费 服 来 模 拟 网 页 上 的 用 户 操 作 ， 实 现 无 声 地 模 拟 与 广 告 网 站 的 交 互 如 点 击 广 告 提 高 网 站 访 问 率 或 自 动 订 阅 付 费 服 务 ， 从 而 增 加 广 告 带 来 的 收 入 。 务 ， 从 而 增 加 广 告 带 来 的 收 入 。 继 2 0 2 0 年 2 月 ， C l i c k e r 木 马 新 家 族 - H a k e n 木 马 通 过 在 G o o g l e   P l a y 分 发 8 种 不 同 的 恶 意 应 用 来 感 染 用 户 设 备 。 最 近 暗 影 安 全 实 验 室 在 G o o g l e   P l a y 上 发 现 了 一 个 新 木 马 家 族 — T e k y a 木 马 。 该 木 马 是 一 款 模 拟 用 户 点 击 来 自 G o o g l e A d M o b ， F a c e b o o k 等 机 构 的 广 告 进 行 移 动 广 告 欺 诈 的 木 马 软 件 。 它 通 过 混 淆 原 生 代 码 来 躲 避 G o o g l e 的 检 测 机 制 使 其 能 成 功 的 通 过 G o o g l e   P l a y 平 台 分 发 。 并 利 用 A n d r o i d 中 的 “ M o t i o n E v e n t ” 机 制 模 仿 用 户 的 点 击 行 为 。 一 、 样 本 信 息 一 、 样 本 信 息 M D 5 ： 2 D 3 B 6 B D B B D F 0 A D 1 2 E 9 3 5 B 9 7 D 5 6 5 B 8 9 1 A 包 名 ： c o m . p a n t a n a l . s t i c k m a n . w a r r i o r 应 用 名 ： S t i c k m a n   F i g h t e r 图 标 ： 二 、 技 术 分 析 二 、 技 术 分 析 该 程 序 在 安 装 时 会 在 r e c e i v e r 注 册 多 条 广 播 ， 比 如 开 机 自 运 行 ， 读 取 网 络 状 态 ， 手 机 屏 幕 关 闭 后 台 仍 然 运 行 ， 这 样 使 该 广 播 很 容 易 被 触 发 。 图 2 - 1   注 册 R e c e i v e r 广 播 接 收 到 开 机 以 及 运 行 广 播 后 ， 利 用 反 射 机 制 来 调 用 a p k 文 件 中 的 l i b e g o . s o 文 件 。
图 2 - 2   加 载 l i b e g o 库 文 件 反 射 调 用 本 地 方 法 之 后 在 e g o 库 中 创 建 v a l i d a t o r s 对 象 列 表 ， 可 以 看 到 该 对 象 列 表 中 存 在 了 许 多 混 淆 的 对 象 。 图 2 - 3   创 建 v a l i d a t o r s 对 象 列 表 在 这 些 v a l i d a t o r s 对 象 中 ， 每 个 调 用 的 方 法 会 从 本 地 的 l i b e g o . s o 中 运 行 对 应 的 函 数 ， 函 数 会 调 用 C 函 数 ， 运 行 到 Y 函 数 ， 最 后 调 用 x x c r l 函 数   。
图 2 - 4   x x c r l 函 数 调 用 我 们 可 以 在 本 地 的 l i b e g o . s o 中 找 到 对 应 的 函 数 ， 该 函 数 大 多 经 过 了 混 淆 。 图 2 - 5   l i b e g o . s o 对 应 的 函 数 我 们 在 文 件 中 的 j a v a u k n e m a E g o x x c r l 函 数 中 可 以 看 到 该 函 数 负 责 多 个 动 作 ， 其 中 f f l w e j p 方 法 负 责 分 析 配 置 文 件 ， g e t W i n d o w 和 g e t D e c o r V i e w 负 责 获 取 所 需 要 的 h a n d l e 。
图 2 - 6   x x c r l 函 数 中 的 方 法 作 用 接 下 来 在 子 函 数 s u b _ A A F 0 处 理 对 应 的 t o u c h 事 件 来 进 行 模 拟 点 击 。 图 2 - 7   进 行 模 拟 点 击 事 件 三 、 服 务 器 后 台 三 、 服 务 器 后 台 接 下 来 我 们 对 T e k y a 木 马 家 族 进 行 真 机 模 拟 抓 包 测 试 ， 通 过 实 际 运 行 我 们 可 以 看 到 此 类 软 件 在 后 台 运 行 多 种 广 告 并 进 行 对 应 的 服 务 器 访 问 。

图 2 - 8   多 次 访 问 广 告 四 、 情 报 扩 展 四 、 情 报 扩 展 我 们 在 G o o g l e   P l a y 上 共 获 取 到 2 9 个 该 木 马 家 族 应 用 ， 下 载 量 超 过 1 0 0 万 次 ， 其 中 大 部 分 软 件 是 针 对 儿 童 的 游 戏 软 件 ， 模 拟 点 击 的 广 告 也 多 为 游 戏 类 广 告 。 部 分 样 本 信 息 ： 应 用 名 称 应 用 名 称 文 件 文 件 M D 5 包 名 包 名 Y e a h   T r a n s l a t o r 0 0 6 1 5 7 8 f 3 1 3 7 1 3 f 6 f b a e a 7 e 6 4 9 1 d 3 4 5 0 c o m . y e y e y . t r a n s l a t e R a c e   i n   S p a c e 0 4 f 1 5 3 a e f 0 2 6 c 0 5 f c 0 b 1 1 1 e 2 a a 4 3 9 9 2 f c a r a c a l . r a c e i n s p a c e . a s t r o n a u t P D F   R e a d e r 0 9 c 7 6 6 e 5 c 1 1 2 b c 5 1 e 0 e 1 e 1 2 9 9 1 4 6 c 7 8 1 m c m c . e b o o k . r e a d e r A R   -   M e a s u r e   P l a n 1 0 3 e 3 9 9 e 1 0 e 5 d c 3 e 4 9 c 5 2 7 7 d f b 7 b 9 b 5 f c o m . a r s k e t c h . q u i c k p l a n D e l i c i o u s   R e c i p e s 2 2 4 2 8 3 8 3 a c d d 5 6 0 a e a d e b 9 c c 8 0 b 5 5 e 7 c m c m c . d e l i c i o u s . r e c i p e s B e s t   T r a n s l a t e 2 8 9 9 a 3 1 1 7 3 7 3 1 2 1 1 2 f 9 1 5 6 c 3 d 3 3 9 5 e 2 a b e s t . t r a n s l a t e . t o o l i T r a n s l a t o r 2 a c f d c 4 0 9 8 0 3 1 b f d 3 5 e d 2 f 2 7 3 6 e d 6 1 2 9 p r o . i n f i . t r a n s l a t o r 2 4 h   T r a n s l a t e a 8 9 7 b b 5 9 a 0 7 2 1 b 9 0 7 c f a 8 9 f 5 2 1 e e 0 8 3 0 a l l d a y . a 2 4 h . t r a n s l a t e S m a r t   A s s i s t a n t 7 3 9 3 8 1 c c a 8 5 8 6 f b f a f f 5 9 8 a f 8 e 8 6 8 b 6 c c o m . s m a r t . t o o l s . p r o A n i m e   F a s h i o n b a 1 d b 1 f 2 6 1 6 6 2 6 2 b 4 a 6 a 0 0 6 1 5 4 8 9 a 0 a 1 c o m . i c h i n y a n . f a s h i o n 五 、 安 全 建 议 五 、 安 全 建 议 如 果 用 户 已 经 感 染 此 类 木 马 病 毒 ， 建 议 用 户 及 时 卸 载 此 类 应 用 。 及 时 更 新 系 统 并 下 载 安 全 软 件 ， 养 成 良 好 习 惯 。 关 注 暗 影 实 验 室 的 微 信 公 众 号 ， 我 们 会 及 时 发 布 木 马 病 毒 的 最 新 动 态 。
* 本 文 作 者 ： 暗 影 安 全 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 暗 影 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理