搜索

[28622] 2020-10-03_小丑木马泛滥Android生态系统

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2020-10-03_小丑木马泛滥Android生态系统 小 丑 木 马 泛 滥 A n d r o i d 生 态 系 统 T a r a   S e a l s   O t s 安 全   2 0 2 0 - 1 0 - 0 3 9 月 ， 有 数 十 种 J o k e r 恶 意 软 件 变 种 进 入 G o o g l e   P l a y 和 第 三 方 应 用 商 店 。 在 G o o g l e   P l a y 和 第 三 方 应 用 商 店 中 ， 越 来 越 多 的 J o k e r   A n d r o i d 恶 意 软 件 变 种 正 在 出 现 ， 研 究 人 员 说 ， 这 一 趋 势 表 明 ， 对 A n d r o i d 移 动 平 台 的 目 标 是 无 情 的 。 Z s c a l e r 的 研 究 人 员 发 现 ， 在 9 月 期 间 ， 有 1 7 种 不 同 的 J o k e r 示 例 已 定 期 上 传 到 G o o g l e   P l a y 。 该 公 司 表 示 ， 这 些 文 件 总 共 下 载 了 1 2 万 次 。 同 时 ， Z i m p e r i u m 分 析 师 表 示 ， 他 们 每 天 都 在 用 户 设 备 上 发 现 恶 意 应 用 程 序 ， 主 要 是 通 过 第 三 方 商 店 ， 侧 加 载 应 用 程 序 和 恶 意 网 站 来 诱 骗 用 户 ， 诱 骗 用 户 下 载 和 安 装 应 用 程 序 。 总 共 ， 仅 在 九 月 份 ， 他 们 就 确 定 了 J o k e r 的 6 4 个 新 变 体 。 J o k e r 恶 意 软 件 自 2 0 1 7 年 以 来 一 直 存 在 - 它 是 一 种 移 动 木 马 ， 它 执 行 一 种 计 费 欺 诈 行 为 ， 研 究 人 员 将 该 恶 意 软 件 归 类 为 “ f l e e c e w a r e ” 。 小 丑 应 用 程 序 将 自 己 宣 传 为 合 法 应 用 程 序 （ 例 如 游 戏 ， 壁 纸 ， 信 使 ， 翻 译 和 照 片 编 辑 器 ） 。 安 装 后 ， 它 们 会 模 拟 点 击 并 拦 截 S M S 消 息 ， 以 使 受 害 者 订 阅 不 需 要 的 付 费 付 费 服 务 。 这 些 应 用 程 序 还 会 窃 取 S M S 消 息 ， 联 系 人 列 表 和 设 备 信 息 。 正 如 Z i m p e r i u m 指 出 的 那 样 ， 恶 意 的 J o k e r 应 用 通 常 在 官 方 的 G o o g l e   P l a y 商 店 之 外 发 现 ， 但   自 2 0 1 9 年 以 来 ， J o k e r 应 用 也 一 直 在 躲 避   G o o g l e   P l a y 的 保 护 。 这 主 要 是 因 为 恶 意 软 件 的 作 者 不 断 对 其 攻 击 方 法 进 行 微 小 的 更 改 。 Z s c a l e r 的 研 究 人 员 在 最 近 的 博 客 中 表 示 ： “   [ J o k e r ] 通 过 采 用 其 代 码 ， 执 行 方 法 或 有 效 载 荷 检 索 技 术 的 变 化 ， 不 断 进 入 G o o g l e 的 官 方 应 用 程 序 市 场 。 ”   他 们 补 充 说 ， 他 们 在 G o o g l e   P l a y 中 标 记 的 1 7 个 应 用 已 被 删 除 。 新 变 种 ： 技 术 细 节 新 变 种 ： 技 术 细 节 根 据 Z i m p e r i u m 的 技 术 分 析 ， J o k e r 的 主 要 功 能 是 通 过 加 载 D E X 文 件 来 实 现 的 。 D E X 文 件 是 可 执 行 文 件 ， 其 保 存 格 式 为 包 含 为
A n d r o i d 编 写 的 已 编 译 代 码 。 通 常 将 多 个 D E X 文 件 压 缩 到 一 个 . A P K 包 中 ， 该 包 可 作 为 大 多 数 程 序 的 最 终 A n d r o i d 应 用 程 序 文 件 。 以 J o k e r 为 例 ， 应 用 程 序 一 旦 安 装 ， 便 会 连 接 到 U R L 以 接 收 有 效 载 荷 D E X 文 件 ， “ 除 了 所 有 小 丑 都 使 用 P O S T 请 求 ， 而 其 他 人 则 使 用 G E T 请 求 之 外 ， 所 有 小 丑 之 间 的 内 容 几 乎 相 同 ” ， 根 据 Z i m p e r i u m 的 说 法 。 。 Z i m p e r i u m 研 究 人 员 说 ： “   J o k e r 木 马 给 A n d r o i d 用 户 带 来 了 更 高 的 风 险 ， 因 为 其 用 户 界 面 被 设 计 为 看 起 来 非 常 正 常 并 秘 密 执 行 恶 意 活 动 。 ”   “ 该 木 马 程 序 显 示 屏 幕 … … 带 有 进 度 条 和 “ 正 在 加 载 数 据 … … ” ， 但 与 此 同 时 ， 它 正 在 连 接 到 第 一 阶 段 U R L 并 下 载 有 效 负 载 。 ” Z i m p e r i u m 分 析 师 指 出 ， 小 丑 应 用 还 使 用 代 码 注 入 技 术 来 隐 藏 诸 如 “ 这 样 做 的 目 的 是 使 恶 意 软 件 分 析 人 员 更 难 发 现 恶 意 代 码 ， 因 为 第 三 方 库 通 常 包 含 大 量 代 码 ， 而 且 附 加 的 混 淆 可 能 使 发 现 注 入 的 类 的 任 务 变 得 更 加 困 难 ， 他 们 周 一 在 博 客 中 对 此 进 行 了 解 释 。 “ 此 外 ， 使 用 合 法 的 程 序 包 名 称 会 击 败 幼 稚 的 黑 名 单 尝 试 。 ” 最 近 的 变 体 展 示 了 一 些 新 技 巧 ， 例 如 使 用 A E S 加 密 以 及 将 代 码 注 入 到 A n d r o i d 的 “ 内 容 提 供 商 ” 功 能 中 。 Z i m p e r i u m 研 究 人 员 说 ： “ 为 了 隐 藏 与 J o k e r s 恶 意 有 关 的 有 趣 字 符 串 ， 特 洛 伊 木 马 从 使 用 （ A E S   /   E C B ） 解 密 的 资 源 （ / r e s o u r c e s / v a l u e s / s t r i n g s . x m l ） 中 检 索 加 密 的 字 符 串 。 ”   “   J o k e r s 中 的 解 密 机 制 通 常 是 普 通 的 A E S 或 D E S 加 密 ， 这 种 加 密 机 制 的 发 展 是 为 了 避 免 混 淆 加 密 字 符 串 ， 从 而 避 免 怀 疑 。 ” 同 时 ， 新 的 变 体 还 将 代 码 插 入 内 容 提 供 商 的 功 能 中 ， 后 者 是 一 个 A n d r o i d 组 件 ， 用 于 通 过 q u e r y （ ） 和 d e l e t e （ ） 之 类 的 功 能 处 理 数 据 库 和 信 息 。 显 然 ， J o k e r 仍 然 是 A n d r o i d 用 户 的 祸 害 。 该 公 司 总 结 说 ： “   Z i m p e r i u m 的 研 究 人 员 每 天 都 在 用 户 设 备 上 发 现 恶 意 软 件 。 ”   “ 恶 意 软 件 不 应 该 存 在 ， 但 确 实 存 在 。 此 博 客 文 章 中 报 告 的 样 本 只 是 其 中 的 一 部 分 - 冰 山 一 角 。 ” 阅 读 原 文 o r g . j u n i t . i n t e r n a l ， c o m . g o o g l e . a n d r o i d . g m s . d y n a m i t e 或 c o m . u n i t y 3 d . p l a y e r . U n i t y P r o v i d e r 之 类 的 常 用 软 件 包 名 称 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理