搜索

[10278] 2016-07-08_“中国”制造悍马（Hummer）病毒家族技术分析报告

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2016-07-08_“中国”制造悍马（Hummer）病毒家族技术分析报告 “ 中 国 ” 制 造   |   悍 马 （ H u m m e r ） 病 毒 家 族 技 术 分 析 报 告 猎 豹 移 动 安 全   F r e e B u f   2 0 1 6 - 0 7 - 0 8 文 章 原 创 作 者 ： 文 章 原 创 作 者 ：   猎 豹 移 动 安 全 实 验 室 猎 豹 移 动 安 全 实 验 室 自 自 2 0 1 6 年 年 初 开 始 ， 猎 豹 移 动 安 全 实 验 室 对 印 度 年 年 初 开 始 ， 猎 豹 移 动 安 全 实 验 室 对 印 度 t o p   1 0 的 手 机 样 本 进 行 了 梳 理 ， 结 果 发 现 这 些 病 毒 样 本 存 在 家 族 关 系 ， 这 的 手 机 样 本 进 行 了 梳 理 ， 结 果 发 现 这 些 病 毒 样 本 存 在 家 族 关 系 ， 这 些 病 毒 样 本 均 采 用 些 病 毒 样 本 均 采 用 h u m m e r 系 列 域 名 为 升 级 服 务 器 ， 猎 豹 移 动 安 全 实 验 室 将 该 病 毒 家 族 命 名 为 系 列 域 名 为 升 级 服 务 器 ， 猎 豹 移 动 安 全 实 验 室 将 该 病 毒 家 族 命 名 为 “ 悍 马 （ 悍 马 （ h u m m e r ） ） ” 。 。 悍 马 （ 悍 马 （ H u m m e r ） 病 毒 全 球 日 活 ） 病 毒 全 球 日 活 1 1 9 万 万 据 猎 豹 移 动 安 全 实 验 室 吧 监 测 数 据 ， 2 0 1 6 年 1 - 6 月 ， 悍 马 （ H u m m e r ） 病 毒 的 平 均 日 活 1 1 9 万 ， 超 过 其 他 所 有 手 机 病 毒 的 感 染 数 据 ， 悍 马 病 毒 已 成 世 界 排 名 第 一 的 手 机 病 毒 。 悍 马 （ h u m m e r ） 手 机 病 毒 已 遍 布 全 球 ， 印 度 、 印 尼 、 土 耳 其 位 居 前 三 ， 中 国 居 第 4 。
印 度 是 悍 马 病 毒 感 染 量 最 高 的 国 家 ， 在 印 度 肆 虐 的 十 大 手 机 病 毒 中 ， 第 2 、 3 名 是 悍 马 病 毒 家 族 成 员 ， 第 6 名 是 悍 马 病 毒 推 广 安 装 的 其 他 病 毒 。
悍 马 病 毒 最 早 的 样 本 在 2 0 1 4 年 即 被 发 现 ， 2 0 1 5 年 7 月 后 ， 该 病 毒 的 感 染 量 明 显 上 升 。 2 0 1 6 年 该 病 毒 的 平 均 日 活 1 1 9 万 ， 峰 值 超 过 1 4 0 万 。 悍 马 病 毒 样 本 变 种 数 在 2 0 1 6 年 4 - 5 月 份 达 到 高 峰 ， 和 该 病 毒 在 全 球 的 感 染 量 增 长 基 本 吻 合 。
“ 悍 马 （ 悍 马 （ h u m m e r ） ） ” 病 毒 家 族 的 发 现 病 毒 家 族 的 发 现 除 部 分 风 险 应 用 外 ， 其 中 标 红 为 本 文 讨 论 的 家 族 ， 该 病 毒 会 r o o t 用 户 手 机 ， 静 默 安 装 其 他 病 毒 以 及 推 广 安 装 大 量 应 用 。
看 似 一 款 普 通 的 应 用 ， 但 是 安 装 后 手 机 就 重 启 。 然 后 屏 幕 满 满 的 广 告 ， 系 统 被 安 装 大 量 同 类 变 种 、 推 广 应 用 、   以 及 其 他 病 毒 。 就 像 这 样 中 毒 用 户 将 手 机 恢 复 出 厂 设 置 并 不 能 解 决 问 题 ， 因 为 病 毒 已 经 获 得 R O O T 权 限 ， s y s t e m 分 区 已 被 修 改 ， “ 悍 马 ” 病 毒 的 多 个 变 种 已 植 入 手 机 R O M 内 。
这 种 被 深 深 植 入 r o m 的 病 毒 ， 普 通 的 恢 复 出 厂 设 置 ， 以 及 进 入 r e c o v e r y 系 统 w i p e   d a t a （ 安 卓 用 户 熟 悉 的 手 机 双 清 ） 都 无 法 清 除 。 悍 马 病 毒 在 手 机 上 的 运 行 方 式 悍 马 病 毒 在 手 机 上 的 运 行 方 式 悍 马 病 毒 使 用 了 私 有 壳 实 际 主 体 在 s t r e a m . p n g 的 文 件 里 在 这 个 p n g   实 际 上 是 一 个 加 密 后 的   e l f   被 载 入 后 释 放 一 个 z i p 该 应 用 的 代 码 实 际 隐 藏 在 这 个 z i p 里 面 脱 壳 后 的 ， 其 资 源 文 件 还 有 两 个 e l f 两 个 a p k
首 先 ， 悍 马 病 毒 运 行 后 会 释 放 该 模 块 r o o t 手 机 ， 并 且 会 根 据 不 同 的 机 型 使 用 不 同 的 解 决 方 案 。 如 果 该 文 件 不 存 在 或 者 损 坏 ， 他 还 可 以 联 网 更 新 病 毒 会 根 据 不 同 的 运 营 商 来 判 断 使 用 哪 个 模 块 。 r i g h t _ c o r e 是 一 个 5 0 0 k 的 z i p 包 。
r i g h t _ c o r e 包 含 一 个 r o o t   s d k ， r o o t 手 机 之 后 下 载 更 多 的 子 包 与 以 上 g u a n g b o m 等 u r l 路 径 为 / g e t S S P D o w n U r l . d o ? c i d = 的 a p k 并 安 装 。 另 外 如 果 r o o t 成 功 ， 则 将 之 前 包 里 的 e r w u b a 这 个 a p k 解 密 并 安 装 到 s y s t e m 下 ， 如 果 r o o t 失 败 则 频 繁 弹 出 安 装 窗 口 ， 强 迫 用 户 安 装 。 该 a p k 安 装 无 图 标 ， 作 用 类 似 主 a p k ， 为 病 毒 的 备 份 ， 防 止 原 先 病 毒 a p p 被 卸 载 。 接 下 来 就 会 疯 狂 弹 出 各 种 广 告 ：
根 据 最 新 版 发 现 ， “ 悍 马 ” 病 毒 最 新 变 种 内 置 多 达 1 8 种 r o o t 方 案 ， 基 本 涵 盖 A n d r o i d   5 以 及 更 早 的 系 统 版 本 。 等 r o o t 完 手 机 之 后 ， “ 悍 马 ” 病 毒 变 种 会 以 如 下 方 式 与 广 告 服 务 器 通 讯 ， 进 而 静 默 安 装 其 他 应 用 ， 前 台 频 繁 展 示 ， 或 者 后 台 点 击 厂 商 广 告 。
受 害 广 告 厂 商 受 害 广 告 厂 商 我 们 在 一 台 测 试 机 安 装 悍 马 病 毒 A P P ， 做 了 几 个 小 时 的 网 络 抓 包 ， 发 现 其 在 短 短 的 几 小 时 内 ， 访 问 网 络 链 接 数 万 次 。 消 耗 网 络 流 量 达 2 G B ， 下 载 a p k 超 2 0 0 个 。 发 现 受 影 响 的 广 告 厂 商 如 下 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理