搜索

[8135] 2014-07-18_Android木马分析简介

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2014-07-18_Android木马分析简介 A n d r o i d 木 马 分 析 简 介 m c v o o d o o   F r e e B u f   2 0 1 4 - 0 7 - 1 8 本 文 介 绍 基 于 本 文 介 绍 基 于 A n d r o i d 的 手 机 恶 意 软 件 ， 是 一 个 基 础 性 的 介 绍 ， 给 新 入 门 的 人 提 供 一 个 分 析 和 工 具 指 引 。 要 分 析 的 木 的 手 机 恶 意 软 件 ， 是 一 个 基 础 性 的 介 绍 ， 给 新 入 门 的 人 提 供 一 个 分 析 和 工 具 指 引 。 要 分 析 的 木 马 是 一 个 马 是 一 个 2 0 1 3 年 的 年 的 s y s s e c A p p . a p k ， 这 个 木 马 的 分 析 能 对 ， 这 个 木 马 的 分 析 能 对 A n d r o i d 恶 意 软 件 有 个 大 概 了 解 。 恶 意 软 件 有 个 大 概 了 解 。 基 础 ： 基 础 ： 1   – A n d r o i d 应 用 基 础 应 用 基 础 A n d r o i d 是 g o o g l e 开 发 基 于 L i n u x 内 核 的 开 源 的 手 机 操 作 系 统 ， 应 用 程 序 使 用 J A V A 语 言 编 写 并 转 换 成 了 D a l v i k 虚 拟 机 ， 而 虚 拟 机 则 提 供 了 一 个 抽 象 的 真 实 硬 件 ， 只 要 和 操 作 系 统 的 A P I 符 合 程 序 都 可 以 在 其 上 运 行 。 应 用 则 需 要 L i n u x 的 用 户 和 组 来 执 行 ， 所 以 目 前 所 有 的 恶 意 软 件 都 需 要 获 得 权 限 。 A n d r o i d 应 用 的 格 式 是 A P K ， 是 一 种 包 含 A n d r o i d M a n i f e s t . x m l 的   Z I P 文 件 ， 媒 体 类 文 件 实 际 代 码 是 c l a s s e s . d e x 和 一 些 其 他 的 可 选 文 件 。 X M L 提 供 A n d r o i d 系 统 的 重 要 信 息 ， 比 如 用 启 动 应 用 程 序 时 需 要 什 么 权 限 ， 只 有 这 个 文 件 中 列 出 的 权 限 才 提 供 给 该 应 用 ， 否 则 返 回 失 败 或 空 结 果 。 c l a s s e s . d e x 是 A n d r o i d 应 用 程 序 实 现 的 逻 辑 部 分 ， 是 一 个 编 译 代 码 可 由 D a l v i k 虚 拟 机 执 行 ， 打 包 成 j a r ， 从 而 节 约 移 动 设 备 上 的 一 些 空 间 。 2   – 分 析 工 具 分 析 工 具 2 . 1 D e x t e r D e x t e r 可 以 将 A n d r o i d 应 用 上 传 做 分 析 ， 提 供 了 包 和 应 用 元 数 据 的 介 绍 。 包 的 依 赖 关 系 图 显 示 了 所 有 包 的 关 系 ， 可 以 快 速 打 开 列 表 显 示 所 有 的 c l a s s 和 功 能 。 2 . 2 A n u b i s A n u b i s 也 是 一 个 W E B 服 务 ， 应 用 在 沙 箱 里 运 行 ， 每 个 样 品 相 互 独 立 ， 来 分 析 文 件 和 网 络 的 活 动 。 同 时 也 提 供 一 些 静 态 分 析 ， 包 括 权 限 X M L 在 调 用 过 程 中 的 变 化 。 2 . 3   A P K I n s p e c t o r A p k i n s p e c t o r 提 供 了 很 多 工 具 ， A P K 加 载 后 可 以 选 择 标 签 来 执 行 其 中 的 功 能 ， 带 有 一 个 J a v a 反 编 译 器 J A D ， 能 够 反 编 译 大 多 数 类 ， 但 经 常 报 错 。 2 . 4   D e x 2 J a r 可 将 d e x   文 件 转 成   J a v a   类 文 件 的 工 具 ， 即 使 你 是 经 验 丰 富 的 逆 向 工 程 师 ， 也 可 以 考 虑 使 用 。 3   –   实 例 分 析 实 例 分 析 3 . 1   A n u b i s A n u b i s 的 显 著 特 点 是 ， 给 出 了 应 用 所 需 权 限 的 大 名 单 ：
截 图 上 包 括 了 应 用 的 部 分 权 限 。 I N T E R N E T 权 限 是 常 见 的 游 戏 所 需 ， 用 来 在 线 统 计 跟 踪 ， 开 启 共 享 功 能 或 者 广 告 。 还 有 一 些 W A K E _ L O C K 、 R E A D _ P H O N E _ S T A T E 用 来 读 取 手 机 状 态 ， 防 止 在 游 戏 中 锁 屏 。 但 R E A D _ C O N T A C T S 、 R E A D _ H I S T O R Y _ B O O K M A R K S 则 看 起 来 就 很 奇 怪 ， 不 像 是 一 个 游 戏 该 干 的 事 情 。 对 1 2 7 . 0 . 0 . 1 : 5 3 4 7 1 的 连 接 看 起 来 也 很 奇 怪 。 分 析 链 接 ： h t t p : / / a n u b i s . i s e c l a b . o r g / ? a c t i o n = r e s u l t & t a s k _ i d = 1 a 6 d 8 d 2 1 d 7 b 0 c 1 a 0 4 e d b 2 c 7 c 3 4 2 2 b e 7 2 f & f o r m a t = h t m l 3 . 2   D e x t e r 包 的 依 赖 关 系 图 显 示 共 有 四 个 。 可 以 忽 视 d e . r u b . s y s s e c ， 它 只 包 含 空 类 的 默 认 构 造 函 数 。
d e . r u b . s y s s e c 包 括 了 一 个 叫 做 A m a z e d 的 游 戏 ， 比 较 特 别 的 是 a m a z e d a c t i v i y 的 o n C r e a t e 方 法 ， 设 置 为 每 隔 1 5 秒 重 复 闹 钟 。 第 3 个 c l a s s 包 含 的 事 件 比 较 多 。 o n B o o t 在 启 动 的 时 候 就 会 进 行 闹 铃 ， S m s R e c e i v e r 和 a l a r m R e c e i v e r 则 是 真 正 的 木 马 ， 在 任 何 一 个 短 信 到 达 的 时 候 S m s R e c e i v e r 会 检 查 里 面 是 否 包 含 有 ” b a n k ” , 如 果 是 则 使 用 a b o r t B r o a d c a s t 丢 弃 短 信 。 这 意 味 着 短 信 在 手 机 上 是 看 不 到 的 。 d e . r u b . s y s s e c . n e u 有 6 个 C L A S S ， 最 重 要 的 一 条 是 “ R u n n e r ” ， 是 实 际 的 恶 意 代 码 。 “ w o r k ” 调 用 a l a r m R e c e i v e r 来 检 查 设 备 是 否 连 接 互 联 网 。
如 果 在 线 ， 则 调 用 “ s t e a l ( ) ” 收 集 信 息 ， 添 加 到 X M L 帮 助 的 一 个 伪 变 量 里 。 根 据 A P I 的 调 用 列 表 ， 会 收 集 信 息 ： I M S I 、 S I M 卡 序 列 号 、 姓 名 、 设 备 I D 、 用 户 字 典 （ 自 动 补 全 ） 、 联 系 人 、 通 话 记 录 、 日 历 、 浏 览 器 搜 索 记 录 、 浏 览 器 收 藏 夹 、 发 送 和 接 收 的 短 信 、 位 置 信 息 。 3 . 3   E m u l a t o r
E m u l a t o r 证 实 这 个 A P K 确 实 有 一 个 关 于 迷 宫 的 游 戏 。 但 在 输 出 的 日 志 里 可 以 发 现 它 其 实 做 了 很 多 事 情 ， 并 试 图 发 送 这 些 内 容 ： 还 有 一 些 额 外 的 信 息 包 括 安 卓 版 本 、 I M E I 、 本 地 时 间 、 s t e a l ( ) 运 行 总 量 3 . 3   分 析 用 到 的 网 站 h t t p : / / a n u b i s . i s e c l a b . o r g / h t t p : / / d e x t e r . d e x l a b s . o r g / h t t p s : / / w w w . v i r u s t o t a l . c o m / h t t p : / / w w w . a p k - a n a l y z e r . n e t / h t t p : / / w w w . v i s u a l t h r e a t . c o m / h t t p : / / a n d r o i d s a n d b o x . n e t / r e p o r t s . h t m l h t t p s : / / h a c k a p p . c o m / 游 戏 不 仅 仅 是 个 游 戏 ， 检 查 你 的 游 戏 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理