搜索

[9884] 2016-03-06_不是闹鬼，是病毒！全球首个Golem（傀儡）病毒感染数万手机

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2016-03-06_不是闹鬼，是病毒！全球首个Golem（傀儡）病毒感染数万手机 不 是 闹 鬼 ， 是 病 毒 ！ 全 球 首 个 G o l e m （ 傀 儡 ） 病 毒 感 染 数 万 手 机 F r e e B u f   2 0 1 6 - 0 3 - 0 6 手 机 放 在 桌 子 上 充 电 ， 突 然 亮 屏 ， 在 没 人 触 摸 的 情 况 下 ， 一 个 手 机 游 戏 自 己 运 行 ， 滑 动 ， 执 行 许 多 命 令 。 执 行 完 之 手 机 放 在 桌 子 上 充 电 ， 突 然 亮 屏 ， 在 没 人 触 摸 的 情 况 下 ， 一 个 手 机 游 戏 自 己 运 行 ， 滑 动 ， 执 行 许 多 命 令 。 执 行 完 之 后 ， 手 机 静 悄 悄 关 闭 屏 幕 显 示 ， 跟 什 么 都 没 发 生 一 样 。 手 机 主 人 会 发 现 ， 自 己 的 手 机 电 池 经 常 没 电 ， 流 量 消 耗 也 比 后 ， 手 机 静 悄 悄 关 闭 屏 幕 显 示 ， 跟 什 么 都 没 发 生 一 样 。 手 机 主 人 会 发 现 ， 自 己 的 手 机 电 池 经 常 没 电 ， 流 量 消 耗 也 比 平 时 多 很 多 。 这 不 是 闹 鬼 ， 而 是 手 机 中 毒 了 。 平 时 多 很 多 。 这 不 是 闹 鬼 ， 而 是 手 机 中 毒 了 。 3 月 2 日 ， 猎 豹 移 动 安 全 实 验 室 发 现 一 枚 新 型 安 卓 木 马 ， 名 为 G o l e m （ 傀 儡 ） ， 是 G h o s t   P u s h   （ 幽 灵 推 ） 的 变 种 病 毒 。 该 病 毒 在 全 球 数 十 个 国 家 被 发 现 ， 目 前 的 日 活 跃 量 为 4 万 台 手 机 ， 累 计 感 染 量 估 计 在 1 0 万 以 上 。 感 染 量 最 多 的 三 个 国 家 是 印 度 、 印 尼 和 菲 律 宾 ， 这 些 国 家 被 许 多 互 联 网 公 司 看 好 ， 并 投 入 许 多 费 用 推 广 自 己 的 A P P ， 这 些 推 广 费 的 一 部 分 流 入 了 病 毒 散 播 者 的 腰 包 。 以 前 有 的 广 告 联 盟 会 用 病 毒 感 染 的 机 器 （ 肉 鸡 ） 去 点 击 网 络 广 告 ， 获 取 广 告 费 分 成 ， 但 在 安 卓 手 机 上 截 获 能 模 拟 用 户 行 为 的 病 毒 ， 还 是 全 球 首 次 。 这 意 味 着 ， 移 动 广 告 欺 诈 产 业 ， 已 经 发 展 到 一 个 新 的 阶 段 ， 这 将 给 安 全 公 司 和 广 告 反 欺 诈 技 术 提 出 更 高 要 求 。 G o l e m 木 马 详 情 分 析 木 马 详 情 分 析 G o l e m   F I L E   M D 5 :   b d a e e f 3 0 e 4 0 b 0 a e 2 a b c a c 5 b 8 7 0 7 4 6 8 2 b 通 过 对 G o l e m 木 马 的 详 细 分 析 ， 该 木 马 在 用 户 屏 幕 解 锁 ， 或 者 开 机 启 动 后 ， 会 从 云 端 （ h t t p : / / d o w n . o n o w c d n . c o m / m y r o a p k / u p d a t e _ t w o . t x t   ） 下 载 一 个 d e x .     然 后 直 接 动 态 加 载 下 载 d e x ,   并 调 用 其 中 名 为   c o m . f a c e b o o k . m i n i . s e r v i c e . R u n S e r v i c e   这 个 类   .   在 我 们 跟 踪 到 的 最 新 的 d e x （ M D 5 ： 1 6 E 9 3 1 5 8 8 E 6 3 B E 8 E 5 3 3 D 9 4 D 4 B C 2 D 1 C D 3   ） 中 ， 发 现 病 毒 会 运 行 指 定 的 A p p   ( 当 然 会 判 断 该 A p p 是 否 存 在 ) ,   并 且 执 行 点 击 操 作   .  
  如 以 上 代 码 ,   循 环 3 次 ,   每 次 运 行 指 定 A p p .   并 且 点 击 指 定 坐 标   .   如 图 中 的 逻 辑 ,   大 约 是 屏 幕 中 间 偏 上 的 位 置 .   病 毒 用 到 了 i n p u t 命 令 ,   正 常 的 安 卓 设 备 基 本 上 都 会 预 制 这 个 i n p u t 工 具 。   该 工 具 主 要 也 是 帮 助 开 发 者 执 行 自 动 化 测 试 。   正 常 情 况 是 可 以 在 r o o t 用 户 或 者 s h e l l 用 户 的 权 限   或 者 某 个 系 统 应 用 申 请 了 a n d r o i d . p e r m i s s i o n . I N J E C T _ E V E N T S 这 个 权 限 下 执 行 该 命 令 然 而 该 病 毒 并 不 满 足 后 面 两 个 条 件 .   我 们 发 现 G o l e m 病 毒 利 用 了 其 他 R O O T 病 毒 留 下 的 后 门 ， 从 而 拿 到 了 R O O T 权 限   .   跑 题 了 ， 说 回 病 毒 .   不 仅 仅 是 模 拟 点 击 而 已 .   点 亮 屏 幕 ,   运 行 A p p   ,   点 击 按 钮 ,   滑 动 屏 幕 ,   最 后 触 发 指 定 功 能 一 气 呵 成 .  
然 后 在 加 上 一 些 随 机 ,   好 像 就 像 是 真 的 有 人 在 用 这 个 A p p .   囧 。   总 结 总 结 G o l e m 可 以 远 程 控 制 设 备 、 在 用 户 不 知 情 的 情 况 下 自 动 启 动 并 运 行 应 用 ， 这 些 恶 意 行 为 会 消 耗 大 量 的 网 络 数 据 、 电 池 电 量 和 本 地 设 备 资 源 ， 结 果 是 使 得 手 机 运 行 速 度 变 慢 。 G o l e m 幕 后 的 推 动 者 幕 后 的 推 动 者 G o l e m 是 G h o s t   P u s h   r o o t 木 马 家 族 中 的 一 个 新 成 员 ， 但 在 黑 市 利 润 链 条 却 扮 演 了 一 个 非 常 重 要 的 角 色 。 毫 无 疑 问 的 是 ， G o l e m 木 马 的 开 发 者 一 定 是 出 于 经 济 动 机 才 开 发 这 款 木 马 。 因 为 G o l e m 可 以 模 仿 正 常 用 户 行 为 ， 伪 造 出 逼 真 的 活 跃 数 据 ， 从 而 赚 取 大 量 的 广 告 推 广 费 用 。 例 如 ， 如 果 说 攻 击 者 在 一 个 设 备 上 安 装 一 个 推 广 应 用 可 以 获 得 1 元 的 话 ， 那 么 如 果 该 应 用 被 打 开 的 话 ， 他 们 就 能 获 得 2 元 甚 至 更 多 的 回 报 。 由 于 该 木 马 可 以 带 来 巨 大 的 经 济 利 益 ， G o l e m 的 恶 意 行 为 暗 示 了 安 卓 木 马 的 新 趋 势 。 幸 运 的 是 ， 全 球 各 安 全 公 司 都 正 在 寻 找 应 对 策 略 ， 保 护 用 户 的 安 全 。 *   作 者 ： 猎 豹 移 动 安 全 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理