搜索

[10269] 2016-07-06_一家中国广告公司，如何利用恶意软件感染全球8500万台手机

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2016-07-06_一家中国广告公司，如何利用恶意软件感染全球8500万台手机 一 家 中 国 广 告 公 司 ， 如 何 利 用 恶 意 软 件 感 染 全 球 8 5 0 0 万 台 手 机 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 0 7 - 0 6 最 近 最 近 C h e c k   P o i n t 发 布 了 一 份 非 常 详 细 的 报 告 ， 谈 到 一 款 名 为 发 布 了 一 份 非 常 详 细 的 报 告 ， 谈 到 一 款 名 为 H u m m i n g B a d 的 的 A n d r o i d 恶 意 程 序 。 此 恶 意 程 序 在 行 为 方 式 上 和 恶 意 程 序 。 此 恶 意 程 序 在 行 为 方 式 上 和 先 前 一 些 相 当 霸 道 的 先 前 一 些 相 当 霸 道 的 A n d r o i d 恶 意 程 序 类 似 ， 不 过 它 有 几 大 亮 点 ： 恶 意 程 序 类 似 ， 不 过 它 有 几 大 亮 点 ： 其 一 背 后 操 纵 者 来 自 其 一 背 后 操 纵 者 来 自 中 国 重 庆 中 国 重 庆 （ 注 意 下 面 还 有 地 址 哦 （ 注 意 下 面 还 有 地 址 哦 … ） ； 其 二 其 感 染 范 围 极 为 广 泛 ， ） ； 其 二 其 感 染 范 围 极 为 广 泛 ， C h e c k   P o i n t 研 究 人 员 表 示 ， 研 究 人 员 表 示 ， H u m m i n g B a d 估 计 已 经 感 染 了 估 计 已 经 感 染 了 8 5 0 0 万 万 台 设 备 。 台 设 备 。 H u m m i n g B a d 的 实 例 增 长 H u m m i n g B a d 幕 后 团 队 大 曝 光 幕 后 团 队 大 曝 光 C h e c k   P o i n t 在 报 告 中 将 这 款 A n d r o i d 恶 意 程 序 称 作 H u m m i n g B a d 。 这 款 恶 意 程 序 的 作 者 是 国 内 的 一 家 广 告 公 司 ， 名 叫 微 赢 互 动 （ Y i n g m o b ！ 这 下 火 了 ！ ） 。 C h e c k   P o i n t 在 报 告 中 毫 不 留 情 地 揭 露 了 这 家 公 司 的 一 些 细 节 信 息 。 连 工 位 都 有 啊 ！ 据 说 微 赢 互 动 内 部 还 是 有 好 几 个 团 队 在 开 发 合 法 追 踪 和 广 告 平 台 的 。 而 负 责 开 发 像 H u m m i n g B a d 这 样 恶 意 产 品 的 团 队 名 为 “ 海 外 平 台
开 发 团 队 ” ， 这 个 团 队 内 部 有 4 个 小 组 ， 共 2 5 名 成 员 。 该 团 队 有 三 个 开 发 项 目 ， 分 别 是 E o m o b i （ 就 是 H u m m i n g B a d 恶 意 组 件 产 品 ） 、 H u m m e r   O f f e r s （ 广 告 服 务 器 分 析 平 台 ） 、 H u m m e r 启 动 器 （ 这 实 际 上 是 个 广 告 服 务 A n d r o i d 应 用 开 发 包 ） ， 共 开 发 6 条 产 品 线 ： 1 . E b o m i 2 . H u m m e r 启 动 器 启 动 器 3 . R o o t 软 件 开 发 套 装 （ 软 件 开 发 套 装 （ S D K ） ） 4 . H u m m e r   O f f e r s 5 . M A T 6 . U n i t e m o b i 这 家 公 司 其 实 算 不 上 恶 意 程 序 的 新 人 。 早 在 2 0 1 5 年 的 时 候 ， P a l o   A l t o 曾 经 发 布 过 一 款 i O S 恶 意 程 序 Y i S p e c t e r 的 报 告 。 当 时 P a l o   A l t o 就 认 为 Y i S p e c t e r 应 该 与 微 赢 互 动 有 关 ， 因 为 这 款 恶 意 程 序 签 名 就 是 微 赢 企 业 证 书 。 C h e c k   P o i n t 这 次 的 报 告 则 提 到 H u m m i n g B a d 和 Y i S p e c t e r 相 比 ， 有 着 相 同 的 C & C 服 务 器 地 址 ， 行 为 方 式 也 很 相 似 。 另 外 H u m m i n g B a d 内 部 还 包 含 Q V O D 快 播 文 档 （ C h e c k   P o i n t 直 接 将 之 称 作 i O S 色 情 播 放 器 ， 泪 奔 … ） ， 这 其 实 跟 Y i s p e c t e r 也 有 关 联 。 H u m m i n g B a d 的 目 标 当 然 是 赚 钱 ！ 的 目 标 当 然 是 赚 钱 ！ C h e c k P o i n t 预 计 ， H u m m i n g B a d 每 天 都 会 推 2 0 0 0 万 广 告 内 容 ， 其 点 击 率 大 约 为 1 2 . 5 % ， 也 就 是 说 每 天 的 广 告 点 击 量 约 为 2 5 0 万 次 。 此 外 ， H u m m i n g B a d 每 天 还 安 装 超 过 5 0 0 0 0 个 欺 诈 应 用 。 预 计 微 赢 互 动 每 天 光 从 广 告 点 击 ， 就 能 获 取 超 过 预 计 微 赢 互 动 每 天 光 从 广 告 点 击 ， 就 能 获 取 超 过 3 0 0 0 美 元 的 收 益 ， 而 诈 骗 应 用 的 安 装 则 能 获 取 美 元 的 收 益 ， 而 诈 骗 应 用 的 安 装 则 能 获 取 7 5 0 0 美 元 美 元 / 天 。 换 算 下 来 一 个 天 。 换 算 下 来 一 个 月 就 是 月 就 是 3 0 万 美 元 ， 一 年 则 为 万 美 元 ， 一 年 则 为 3 6 0 万 美 元 。 万 美 元 。 当 前 H u m m i n g B a d 已 经 感 染 了 8 5 0 0 万 台 A n d r o i d 设 备 。 不 止 于 此 ， 由 于 这 款 恶 意 程 序 会 非 法 对 A n d r o i d 设 备 进 行 R o o t 操 作 ， 实 现 各 类 恶 意 程 序 的 推 送 ， 这 些 设 备 几 乎 就 是 被 彻 底 掌 控 的 。 这 些 设 备 上 的 数 据 风 险 自 不 必 多 说 ， 将 它 们 组 成 僵 尸 网 络 ， 发 起 攻 击 ， 或 者 将 这 些 访 问 权 限 卖 到 黑 市 ， 都 全 然 不 在 话 下 。 微 赢 互 动 用 他 们 自 家 的 U m e n g 服 务 来 追 踪 H u m m i n g B a d 的 感 染 情 况 （ 专 业 ！ ） 。 从 U m e n g 的 控 制 面 板 来 看 ， 这 家 公 司 “ 注 册 ” 了 近 2 0 0 款 应 用 ， 预 计 其 中 2 5 % 都 是 恶 意 程 序 ， 用 于 分 发 H u m m i n g B a d 恶 意 程 序 。 上 面 这 张 图 也 来 自 U m e n g 的 统 计 ， 从 去 年 8 月 份 开 始 ， 其 活 跃 性 成 长 表 现 还 是 相 当 不 错 的 。
从 H u m m i n g B a d 当 前 影 响 的 国 家 地 区 来 看 ， 这 款 恶 意 程 序 当 前 应 该 算 是 个 跨 国 恶 意 程 序 ， 虽 然 主 要 感 染 地 区 还 是 在 中 国 和 印 度 ， 其 他 各 国 的 感 染 数 量 也 是 相 当 可 观 的 。 恶 意 行 为 分 析 恶 意 行 为 分 析 这 次 的 报 告 中 提 到 ， H u m m i n g B a d 首 次 感 染 方 法 应 该 是 隐 藏 下 载 攻 击 （ d r i v e - b y   d o w n l o a d ） ， 部 分 成 人 内 容 站 点 也 提 供 了 相 应 的 恶 意 p a y l o a d 。 而 H u m m i n g B a d 本 身 包 含 了 两 个 主 要 组 成 部 分 ， 其 中 一 个 组 件 负 责 对 A n d r o i d 设 备 进 行 R o o t 操 作 ， R o o t k i t 会 考 虑 利 用 多 种 不 同 的 漏 洞 。 R o o t 成 功 后 ， 攻 击 者 就 能 完 全 获 取 设 备 的 访 问 权 限 。 如 果 R o o t 失 败 ， 第 二 套 组 件 就 会 生 成 一 个 欺 骗 性 的 系 统 升 级 通 知 ， 欺 骗 用 户 让 H u m m i n g B a d 获 取 系 统 级 权 限 （ R o o t 还 是 关 键 呀 ！ ） 。 无 论 R o o t 是 否 成 功 ， H u m m i n g B a d 都 会 尽 可 能 下 载 大 量 欺 诈 应 用 。
模 拟 点 击 的 代 码 整 套 H u m m i n g B a d 包 含 好 几 个 恶 意 组 件 。 首 要 的 组 件 名 为 S S P ， 其 作 用 是 显 示 非 法 广 告 、 安 装 欺 诈 应 用 。 该 组 件 通 过 4 个 事 件 触 发 ： 设 备 启 动 、 屏 幕 开 启 / 关 闭 、 设 备 连 接 任 意 变 化 、 用 户 检 测 （ 听 说 过 A n d r o i d 系 统 中 的 R e c e i v e r 吗 ？ 这 类 行 为 其 实 是 完 全 合 法 的 ） 。 触 发 过 后 ， S S P 开 启 名 为 S e 的 服 务 ， 初 始 化 恶 意 逻 辑 ， 并 且 开 启 广 告 网 络 。 S S P 还 会 开 启 计 时 器 ， 每 1 0 秒 钟 计 划 一 次 L o c k T a s k ， 如 果 满 足 相 应 条 件 （ 比 如 互 联 网 连 接 、 从 服 务 器 获 取 到 设 置 ， 时 间 延 迟 等 ） ， L o c k T a s k 就 会 重 启 S e 服 务 ， 并 且 启 动 M a i n A c t i v i t y 进 程 ， 激 活 恶 意 p a y l o a d 。 M a i n A c t i v i t y 进 程 开 始 之 后 ， 恶 意 程 序 会 显 示 广 告 b a n n e r ， 广 告 上 面 会 有 个 关 闭 按 钮 。 实 际 上 恶 意 程 序 会 阻 止 用 户 回 到 H o m e 页 ， 或 者 是 进 行 返 回 操 作 ， 这 样 用 户 就 只 能 点 击 该 广 告 了 。 用 户 点 击 所 谓 的 “ 关 闭 ” 按 钮 ， 实 际 上 也 是 点 击 一 次 广 告 操 作 。 在 点 击 广 告 之 后 ， S S P 组 件 就 会 向 服 务 器 发 出 请 求 ， 给 A P K 返 回 一 个 链 接 ， S S P 随 后 再 从 服 务 器 下 载 该 A P K 文 件 （ 就 是 A n d r o i d 安 装 文 件 嘛 ） 。
那 个 “ 关 闭 ” 按 钮 相 关 代 码 A P K 文 件 下 载 完 成 后 ， 恶 意 应 用 会 检 查 设 备 是 否 已 经 R o o t 。 如 果 已 经 R o o t ， 则 默 默 地 安 装 下 载 的 A P K 文 件 ； 如 果 没 有 R o o t 的 话 ， S S P 会 弹 出 用 户 对 话 框 ， 仍 旧 企 图 进 行 安 装 操 作 。 下 载 的 A P K 文 件 安 装 完 成 后 ， S S P 再 启 动 该 程 序 ， 并 且 广 播 I N S T A L L _ B E F E R R E R ， 通 过 从 服 务 器 获 取 到 的 信 息 来 伪 造 G o o g l e   P l a y 的 安 装 ， 并 从 广 告 网 络 中 获 取 广 告 收 益 （ 难 道 这 不 是 仅 针 对 国 际 用 户 的 么 ？ ） 。 作 为 一 个 合 格 的 恶 意 程 序 ， 肯 定 还 要 获 取 更 新 、 发 回 报 告 。 S S P 会 从 某 J S O N 文 件 检 索 C & C 域 名 。 除 此 之 外 ， S S P 还 有 一 些 行 为 ， 比 如 具 体 的 G o o g l e   P l a y 进 程 注 入 （ S S P 能 够 向 G o o g l e   P l a y 进 程 注 入 一 个 库 ， 恶 意 程 序 也 就 能 够 伪 装 G o o g l e   P l a y 商 店 中 安 装 、 购 买 、 接 受 点 击 操 作 。 这 里 用 到 的 是 比 较 知 名 的 p t r a c e ， S S P 能 够 用 p t r a c e 来 调 用 控 制 其 他 应 用 ， 读 取 、 写 入 内 存 等 操 作 ） ； 还 有 R i g h t C o r e 恶 意 组 件 ， 其 实 应 该 算 是 S S P 的 一 个 早 期 版 本 ； C A P 组 件 采 用 比 较 复 杂 的 技 术 负 责 安 装 欺 诈 应 用 ， 实 现 欺 骗 I M E I 码 注 入 ， 执 行 G o o g l e   P l a y 的 点 击 模 拟 操 作 等 等 。
在 C h e c k   P o i n t 看 来 ， 微 赢 互 动 可 能 是 首 个 曝 光 到 大 众 面 前 、 如 此 高 度 组 织 化 推 恶 意 程 序 的 团 队 。 或 许 这 种 趋 势 未 来 还 会 持 续 ， 引 来 其 他 团 队 的 学 习 ， 实 现 复 杂 攻 击 的 独 立 化 运 营 。 甚 至 将 这 样 掌 控 僵 尸 网 络 的 权 限 ， 提 供 给 某 些 组 织 或 政 府 机 关 ， 情 况 就 更 加 复 杂 了 。 *   F r e e B u f 官 方 报 道 ， 本 文 原 创 作 者 ： 欧 阳 洋 葱 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理