搜索

[9528] 2015-11-11_来自中国的秘密预装木马的安卓平板正在销往全世界

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-17
2015-11-11_来自中国的秘密预装木马的安卓平板正在销往全世界 来 自 中 国 的 秘 密   |   预 装 木 马 的 安 卓 平 板 正 在 销 往 全 世 界 F r e e B u f   2 0 1 5 - 1 1 - 1 1 双 双 1 1 购 物 狂 欢 节 激 战 正 酣 ， 许 多 朋 友 都 在 各 大 电 商 上 搜 刮 早 已 心 仪 的 商 品 ， 但 此 时 ， 却 有 一 波 购 物 狂 欢 节 激 战 正 酣 ， 许 多 朋 友 都 在 各 大 电 商 上 搜 刮 早 已 心 仪 的 商 品 ， 但 此 时 ， 却 有 一 波 “ 木 马 木 马 ” 悄 然 悄 然 来 来 袭 。 袭 。 近 日 ， 猎 豹 移 动 安 全 实 验 室 发 现 了 一 个 危 险 系 数 较 高 的 木 马 ， 该 木 马 被 称 为 C l o u d s o t a 。 研 究 发 现 ： 该 木 马 是 一 开 始 是 被 预 装 在 一 些 A n d r o i d 平 板 上 。 而 从 目 前 的 情 况 来 看 ， 遭 受 该 木 马 感 染 的 平 板 依 然 放 置 在 亚 马 逊 的 购 物 架 上 ， 并 且 处 于 销 售 状 态 。 发 现 之 路 ： 起 于 受 害 用 户 的 抱 怨 发 现 之 路 ： 起 于 受 害 用 户 的 抱 怨 通 过 对 收 集 的 信 息 进 行 分 析 ， 该 木 马 其 实 已 经 存 在 有 一 段 时 间 了 ， 而 其 间 也 有 不 少 受 害 用 户 一 直 在   X D A 、 T e c h K n o w 等 网 上 交 流 论 坛 上 寻 求 帮 助 。
而 在 亚 马 逊 上 也 发 现 了 一 些 购 买 了 平 板 的 用 户 的 抱 怨 。 恶 意 行 径 ： 恶 意 行 径 ： C l o u d s o t a 木 马 伸 出 了 恶 魔 之 手 木 马 伸 出 了 恶 魔 之 手 经 过 分 析 发 现 ， C l o u d s o t a 木 马 能 够 远 程 控 制 受 感 染 的 设 备 ， 可 在 在 未 经 用 户 允 许 的 情 况 下 ， 进 行 带 有 目 的 性 的 恶 意 操 作 。 安 全 专 家 目 前 经 过 分 析 及 研 究 ， 已 经 检 测 到 C l o u d s o t a 的 主 要 行 为 轨 迹 。 首 先 ， 它 可 以 直 接 将 恶 意 广 告 软 件 或 者 其 他 的 恶 意 软 件 安 装 到 设 备 上 。 同 时 在 初 始 阶 段 ， 该 木 马 会 先 将 杀 毒 应 用 卸 载 掉 ， 从 而 方 便 进 行 其 他 的 恶 意 操 作 。 我 们 也 发 现 ， 在 r o o t 权 限 下 ， 它 不 但 能 够 自 动 打 开 所 有 安 装 在 设 备 上 的 应 用 ， 而 且 经 过 检
测 ， 该 木 马 会 将 开 机 动 画 和 壁 纸 都 替 换 成 广 告 。 和 众 多 恶 意 广 告 软 件 一 样 ， C l o u d s o t a 还 会 将 浏 览 器 的 默 认 主 页 篡 改 ， 并 重 定 向 到 一 个 广 告 页 面 上 ， 绑 定 用 户 进 行 浏 览 。 影 响 ： 超 过 影 响 ： 超 过 1 5 3 个 国 家 地 区 的 用 户 受 到 影 响 个 国 家 地 区 的 用 户 受 到 影 响 根 据 我 们 初 步 的 估 算 ， 至 少 有 1 7 , 2 3 3 台 受 感 染 的 平 板 被 线 下 的 用 户 购 买 ， 并 已 经 通 过 物 流 交 付 到 用 户 手 中 。 该 数 据 的 估 算 是 基 于 猎 豹 移 动 收 集 的 匿 名 数 据 。 而 由 于 目 前 许 多 平 板 是 不 受 杀 毒 应 用 的 保 护 ， 实 际 上 感 染 设 备 的 数 量 可 能 比 我 们 预 计 要 多 得 多 。 其 中 最 让 我 们 担 心 的 是 ， 这 些 平 板 电 脑 在 许 多 电 商 平 台 都 有 出 售 ， 不 乏 零 售 巨 头 ， 像 亚 马 逊 。 其 中 最 让 我 们 担 心 的 是 ， 这 些 平 板 电 脑 在 许 多 电 商 平 台 都 有 出 售 ， 不 乏 零 售 巨 头 ， 像 亚 马 逊 。 从 当 前 的 情 况 来 看 ， 显 然 大 多 数 人 都 不 知 道 c l o u d s o t a 的 潜 在 风 险 和 破 坏 性 ， 而 在 这 里 ， 必 须 提 醒 广 大 用 户 ， 可 以 说 ， 这 是 一 个 定 时 炸 弹 ， 随 时 都 有 可 能 威 胁 个 人 隐 私 和 财 产 安 全 。 根 据 跟 踪 研 究 发 现 ， 目 前 有 超 过 3 0 个 品 牌 的 平 板 被 预 装 了 该 木 马 ， 而 相 对 于 大 型 品 牌 的 平 板 电 脑 ， 影 响 最 大 的 是 一 些 小 众 品 牌 的 平 板 。 据 统 计 ， 超 过 4 0 0 0 台 受 影 响 的 小 众 品 牌 平 板 已 经 被 出 售 到 全 球 各 地 。
目 前 我 们 已 经 告 知 了 被 发 现 预 装 该 木 马 的 各 大 品 牌 平 板 公 司 。 同 时 ， 我 们 也 在 反 馈 中 ， 建 议 这 些 制 造 商 能 够 仔 细 研 究 分 析 其 系 统 固 件 ， 但 很 不 幸 ， 截 止 到 目 前 为 止 ， 没 有 厂 商 回 应 此 事 件 。 在 遭 受 该 木 马 感 染 的 超 过 1 5 3 个 国 家 和 地 区 中 ， 美 国 、 墨 西 哥 和 土 耳 其 的 情 况 是 最 为 严 重 的 。 我 们 可 以 在 网 上 看 到 许 多 用 户 纷 纷 在 亚 马 逊 上 评 论 ， 抱 怨 设 备 经 常 出 现 广 告 和 弹 窗 。 而 根 据 对 收 集 到 的 信 息 进 行 统 计 ， 发 现 这 些 预 装 该 木 马 的 平 板 都 有 一 定 的 相 同 之 处 ， 就 是 所 有 的 这 些 平 板 ， 它 们 的 价 格 都 是 比 较 廉 价 的 ， 并 且 可 以 追 溯 到 它 们 的 制 造 商 其 实 出 自 于 一 些 不 知 名 的 小 型 车 间 。 下 面 是 一 个 不 完 整 统 计 的 在 亚 马 逊 上 疑 似 预 装 木 马 的 品 牌 列 表 ：
而 当 我 们 也 发 现 一 个 有 问 题 的 平 板 电 脑 后 ， 我 们 随 即 发 送 了 通 知 给 到 亚 马 逊 ， 阐 述 了 目 前 发 生 的 问 题 。 我 们 也 相 信 ， 亚 马 逊 可 以 通 过 其 客 户 的 投 诉 和 评 论 来 证 实 我 们 的 信 息 。 反 编 译 ： 对 木 马 反 编 译 ： 对 木 马 C l o u d s o t a 的 技 术 分 析 的 技 术 分 析
许 多 用 户 反 映 说 ， 他 们 的 平 板 被 锁 定 为 演 示 模 式 ， 并 且 在 屏 幕 上 一 直 会 出 现 一 个 红 色 的 “ D e m o ” 。 而 根 据 我 们 的 分 析 ， 其 实 该 情 况 （ 即 出 现 红 色 的 “ D e m o ” ） 并 不 是 由 木 马 C l o u d s o t a 引 起 的 。 实 际 上 ， 该 红 色 “ D e m o ” 源 于 系 统 组 件 p a c k a g e - S y s t e m U I . a p k 。 我 们 发 现 ， 当 设 备 开 机 的 时 候 ， 在 S y s t e m U I . a p k 中 的 恶 意 代 码 便 会 执 行 ， 它 的 目 的 是 检 查 c o m . c l o u d s . s e r v e r   （ 即 为 C l o u d s o t a ） 是 否 被 安 装 在 平 板 上 ， 如 果 没 有 的 话 ， 它 会 尝 试 进 行 安 装 。 而 进 一 步 ， 如 果 安 装 失 败 ， 那 么 就 会 出 现 上 述 的 情 况 ， 一 个 大 大 的 红 色 “ D e m o ” 出 现 在 屏 幕 中 间 。 以 下 是 部 分 代 码 信 息 ， （ 一 ） 重 新 启 动 后 的 恢 复 机 制 （ 一 ） 重 新 启 动 后 的 恢 复 机 制 我 们 发 现 即 使 移 除 了 该 木 马 ， 它 在 设 备 重 新 启 动 之 后 又 会 再 次 出 现 。 原 来 ， 该 木 马 是 嵌 入 到   b o o t . i m g / c l o u d s o t a / C l o u d s S e r v i c e . a p k 中 ， 这 样 使 得 该 木 马 能 够 在 用 户 重 启 设 备 之 后 进 行 自 我 恢 复 。 这 样 看 来 ， 该 木 马 是 相 当 难 缠 的 。 我 们 可 以 从 下 面 的 脚 本 中 看 到 ， 每 一 次 重 启 设 备 之 后 ， i n i t . r c 脚 本 都 会 重 新 恢 复 木 马 。
恢 复 木 马 的 代 码 段 ： （ 二 ） 篡 改 浏 览 器 主 页 （ 二 ） 篡 改 浏 览 器 主 页 当 用 户 开 启 设 备 时 ， 为 了 获 取 篡 改 的 操 作 指 令 ， C l o u d s o t a 会 频 繁 地 与 外 部 服 务 器 进 行 通 信 （ 约 每 3 0 分 钟 一 次 ） ， 篡 改 浏 览 器 主 页 的 指 令 如 下 所 述 ：
在 这 过 程 中 ， 我 们 也 截 获 了 一 些 数 据 ： （ 三 ） 静 默 安 装 （ 三 ） 静 默 安 装 A p p s 跟 篡 改 浏 览 器 主 页 相 似 ， c l o u d s o t a 也 会 从 云 端 的 服 务 器 获 取 一 个 a p p s 列 表 ， 然 后 直 接 在 用 户 的 设 备 上 静 默 安 装 。 根 据 目 前 的 分 析 和 调 查 ， 一 般 来 说 ， 用 户 是 很 难 移 除 这 些 a p p s 的 。 具 体 执 行 的 部 分 代 码 段 如 下 ， 我 们 获 取 到 该 木 马 执 行 的 一 些 信 息 ， 如 下
h t t p : / / d o w n l o a d . c l o u d s o t a . c o m / a p k / o t a / 1 4 3 8 9 9 9 9 3 5 / C a l e n d a r S e r v i c e . a p k h t t p : / / d o w n l o a d . c l o u d s o t a . c o m / a p k / o t a / 1 4 4 0 5 6 9 3 5 1 / C l o u d s S e r v i c e . a p k h t t p : / / d o w n l o a d . c l o u d s o t a . c o m / a p k / D S B / 3 9 3 / d s b _ a i j i a n 2 . a p k h t t p : / / d o w n l o a d . c l o u d s o t a . c o m / a p k / M o p o P l a y / 4 3 1 4 / M o p o P l a y . a p k h t t p : / / d o w n l o a d . c l o u d s o t a . c o m / a p k / m a x t h o n / 2 9 1 5 / h g n o r m a l _ r e m o t e _ m a s t e r . a p k （ 四 ） 其 他 检 测 到 的 行 为 （ 四 ） 其 他 检 测 到 的 行 为 该 木 马 也 可 以 进 行 以 下 操 作 ： 1 、 更 改 设 备 的 启 动 动 画 （ 在 每 一 次 启 动 后 ， 用 户 都 会 看 到 烦 人 的 广 告 ！ ） ； 2 、 卸 载 设 备 上 的 应 用 程 序 （ 主 要 卸 载 设 备 上 的 杀 毒 应 用 和 应 用 于 保 护 设 备 的 r o o t   工 具 ） ； 3 、 将 广 告 设 置 为 壁 纸 （ 每 次 点 击 H o m e 键 的 时 候 ， 又 是 极 其 烦 人 的 广 告 ！ ） ； 4 、 打 开 设 备 上 的 任 何 应 用 程 序 ； 5 、 创 建 广 告 弹 窗 。 以 上 是 经 过 分 析 ， 我 们 获 取 到 的 该 木 马 的 主 要 行 为 轨 迹 。 那 到 这 里 ， 我 们 是 不 是 有 点 明 白 了 为 什 么 这 些 平 板 会 这 么 便 宜 呢 ？ 攻 击 者 很 可 能 来 自 中 国 攻 击 者 很 可 能 来 自 中 国 我 们 目 前 也 已 经 有 了 初 步 的 证 据 证 明 ， 该 C l o u d s o t a 木 马 的 幕 后 操 纵 者 是 来 自 中 国 ， 主 要 的 判 断 依 据 如 下 ： 1 、 从 我 们 提 取 的 木 马 链 接 来 看 ， 在 W H O I S 上 面 对 w w w . c l o u d s o t a . c o m 进 行 查 询 。 从 查 询 结 果 看 ， 服 务 器 是 在 深 圳 注 册 的 。 显 示 的 部 分 信 息 如 下 ， 所 有 者 :   Q I U   B I H U I 注 册 地 址 ： 宝 安 区 西 乡 注 册 城 市 ： 深 圳 注 册 省 区 ： 广 东 省
邮 政 编 码 ： 5 1 8 1 0 1 其 他 的 信 息 包 括 一 些 联 系 方 式 就 不 在 这 里 多 提 了 。 2 、 大 部 分 代 码 注 释 都 是 用 中 文 写 的 。 、 大 部 分 代 码 注 释 都 是 用 中 文 写 的 。 3 、 平 板 的 制 造 厂 商 来 自 中 国 、 平 板 的 制 造 厂 商 来 自 中 国 解 决 办 法 与 建 议 解 决 办 法 与 建 议 对 于 拥 有 感 染 设 备 用 户 ： 我 们 在 博 客 中 有 移 除 的 办 法 可 供 参 考 ， 请 移 步   m a n u a l   r e m o v a l   i n s t r u c t i o n s 进 行 详 细 了 解 。 对 于 电 商 平 台 ： 我 们 建 议 应 该 更 加 严 格 地 去 审 核 产 品 供 应 商 ， 这 也 是 对 消 费 者 的 负 责 。 在 分 析 报 告 中 ， 我 们 从 下 面 的 网 站 和 机 构 中 获 取 了 一 些 原 始 数 据 进 行 参 考 ， 非 常 感 谢 他 们 的 支 持 ！ * 参 考 来 源 ： c m c m ， F B 小 编 t r o y 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理