搜索

[10597] 2016-10-13_黑产上演《三体》剧情：蠕虫病毒入侵手机群发“钓鱼”短信

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2016-10-13_黑产上演《三体》剧情：蠕虫病毒入侵手机群发“钓鱼”短信 黑 产 上 演 《 三 体 》 剧 情 ： 蠕 虫 病 毒 入 侵 手 机 群 发 “ 钓 鱼 ” 短 信 F r e e B u f   2 0 1 6 - 1 0 - 1 3 以 下 文 章 来 源 于 A V L T e a m   ， 作 者 A V L   T e a m “ 我 是 这 个 世 界 的 一 个 和 平 主 义 者 ， 我 首 先 收 到 信 息 是 你 们 文 明 的 幸 运 ， 警 告 你 们 ： 不 要 回 答 ！ 不 要 回 答 ！ 不 要 回 答 ！ ！ ！ ” — — 《 三 体 》 《 三 体 》 是 国 内 科 幻 小 说 界 里 程 碑 式 的 作 品 ， 多 位 互 联 网 大 佬 都 是 其 粉 丝 ， 去 年 其 更 是 荣 获 科 幻 小 说 界 的 最 高 奖   “ 雨 果 奖 ” 。 小 说 中 人 类 为 探 索 外 星 文 明 向 宇 宙 发 送 电 波 并 收 到 了 三 体 文 明 的 回 复 ， 一 旦 人 类 回 复 该 电 波 ， 三 体 将 立 即 定 位 地 球 位 置 并 开 展 后 续 的 侵 略 行 动 。 不 止 在 小 说 中 ， 现 实 生 活 中 也 存 在 很 多 类 似 的 “ 钓 鱼 ” 短 信 在 人 们 之 间 传 播 ， 一 旦 不 慎 点 开 了 短 信 中 的 “ 钓 鱼 ” 链 接 ， 链 接 中 附 带 的 病 毒 将 立 即 入 侵 手 机 ， 给 人 们 的 隐 私 、 财 产 安 全 带 来 极 大 的 威 胁 。 在 此 ， 安 天 A V L 移 动 安 全 和 猎 豹 移 动 安 全 实 验 室 提 醒 大 家 ： 在 收 到 附 带 “ 钓 鱼 ” 链 接 的 短 信 时 ， 不 要 点 开 ！ 不 要 点 开 ！ 不 要 点 开 ！ ！ ！ 近 期 ， 安 天 A V L 移 动 安 全 和 猎 豹 移 动 安 全 实 验 室 就 监 控 到 一 个 群 发 “ 钓 鱼 ” 短 信 散 布 蠕 虫 病 毒 的 恶 意 事 件 ， 事 件 中 的 C u r i o s i t y 病 毒 一 旦 进 入 手 机 将 立 即 获 取 感 染 手 机 的 联 系 人 信 息 并 群 发 “ 钓 鱼 ” 短 信 ， 短 信 的 内 容 为 ： “ 你 好 ， 我 看 到 这 有 你 的 私 密 照 片 ， 点 击 链 接 查 看 ： h x x p : / / b * * . l y / 2 a b g T o i ” 。 收 件 人 一 旦 没 忍 住 好 奇 心 点 击 了 该 链 接 ， 链 接 指 向 的 蠕 虫 病 毒 将 会 被 下 载 到 用 户 手 机 。 该 病 毒 利 用 大 家 对 朋 友 的 信 任 和 好 奇 心 ， 通 过 短 信 进 行 蠕 虫 病 毒 传 播 ， 并 通 过 远 程 控 制 功 能 形 成 僵 尸 网 络 。 值 得 注 意 的 是 ， 该 病 毒 的 远 程 控 制 功 能 是 借 助 G o o g l e 的 C 2 D M ( A n d r o i d   C l o u d   t o   D e v i c e   M e s s a g i n g ) 服 务 实 现 。 接 下 来 ， 我 们 将 对 该 病 毒 进 行 详 细 的 行 为 解 析 。 C u r i o s i t y   病 毒 运 行 流 程 图 病 毒 运 行 流 程 图 A V L T e a m   . 安 天 移 动 安 全 是 安 天 科 技 集 团 旗 下 专 注 移 动 用 户 安 全 的 科 技 公 司 ， 自 主 创 新 的 安 全 引 擎 覆 盖 全 球 超 2 0 亿 智 能 终 端 ， 为 移 动 用 户 生 态 实 现 全 场 景 覆 盖 的 移 动 应 用 安 全 治 理 ， 对 导 致 用 户 权 益 受 损 的 不 良 行 为 和 黑 灰 产 进 行 技 术 响 应 ， 为 开 发 者 提 供 专 业 安 全 辅 导 和 配 套 产 品 服 务 。
详 细 分 析 详 细 分 析 群 发 “ 钓 鱼 ” 短 信 并 拦 截 短 信 C u r i o s i t y 病 毒 在 运 行 时 会 获 取 用 户 手 机 中 所 有 联 系 人 的 号 码 ， 然 后 向 这 些 号 码 发 送 包 含 蠕 虫 病 毒 下 载 链 接 的 “ 钓 鱼 ” 短 信 ， 以 诱 导 更 多 的 用 户 去 下 载 。 短 信 的 内 容 有 多 种 语 言 版 本 ， 如 下 图 所 示 ， 包 含 英 语 、 阿 拉 伯 语 、 西 班 牙 语 、 葡 萄 牙 语 、 法 语 等 。 我 们 选 取 其 中 一 个 短 信 内 容 翻 译 成 中 文 为 ： “ 你 好 ， 我 看 到 这 有 你 的 私 密 照 片 ， 点 击 链 接 查 看 h x x p : / / b * * . l y / 2 a b g T o i   ” 。 收 件 人 一 旦 点 开 短 信 中 的 链 接 ， 链 接 指 向 的 蠕 虫 病 毒 将 下 载 到 用 户 的 手 机 中 。 蠕 虫 病 毒 伪 装 程 序 名 为 p i c t u r e ， 以 诱 导 用 户 下 载 安 装 。 同 时 该 病 毒 会 将 自 身 设 置 为 默 认 的 短 信 应 用 ， 完 全 拦 截 用 户 接 收 到 的 短 信 ， 导 致 用 户 无 法 接 收 到 短 信 ， 并 将 黑 名 单 中 号 码 的 短 信 进 行 删 除 。 设 置 自 身 为 默 认 短 信 应 用 ： 拦 截 用 户 接 收 到 的 短 信 ：
删 除 黑 名 单 中 号 码 的 短 信 ： 利 用 G o o g l e 推 送 服 务 远 程 控 制 C u r i o s i t y 病 毒 在 运 行 时 通 过 G o o g l e 的 C 2 D M （ A n d r o i d   C l o u d   t o   D e v i c e   M e s s a g i n g ） 推 送 服 务 向 感 染 手 机 推 送 远 程 控 制 指 令 ， 控 制 感 染 手 机 向 指 定 号 码 拨 打 电 话 、 向 指 令 号 码 发 送 攻 击 者 自 定 义 的 短 信 、 向 用 户 联 系 人 群 发 自 定 义 短 信 等 恶 意 行 为 。 C 2 D M 框 架 是 G o o g l e 官 方 提 供 的 数 据 推 送 工 具 , 允 许 第 三 方 开 发 者 通 过 C 2 D M 服 务 器 向 用 户 手 机 推 送 少 量 的 数 据 。
在 这 里 要 对 G o o g l e 的 C 2 D M 推 送 流 程 进 行 简 单 的 介 绍 ： 图 1   C 2 D M 操 作 过 程 图 使 用 C 2 D M 来 进 行 P u s h 操 作 ， 需 要 一 部 包 含 G o o g l e 服 务 的 安 卓 手 机 、 C 2 D M 服 务 器 和 第 三 方 服 务 器 。 如 上 图 所 示 C u r i o s i t y 病 毒 利 用 C 2 D M 服 务 进 行 数 据 推 送 的 流 程 ： S t e p 1 . 使 用 感 染 用 户 的 G o o g l e 账 号 在 C 2 D M 服 务 器 注 册 一 个 r e g i s t r a t i o n   I D 。
S t e p 2 . 将 G o o g l e 账 号 和 C 2 D M 服 务 器 返 回 的 r e g i s t r a t i o n   I D 发 送 到 攻 击 者 的 服 务 器 。 S t e p 3 . 攻 击 者 的 服 务 器 将 r e g i s t r a t i o n   I D 和 要 推 送 的 数 据 以 p o s t 的 方 式 发 送 给 C 2 D M 服 务 器 上 。 S t e p 4 . C 2 D M 服 务 器 将 推 送 的 数 据 以 p u s h 的 形 式 推 送 到 该 手 机 上 。 窃 取 用 户 隐 私 信 息 C u r i o s i t y 病 毒 运 行 时 会 窃 取 大 量 的 用 户 隐 私 信 息 和 设 备 信 息 并 上 传 到 远 程 服 务 器 ， 窃 取 的 隐 私 信 息 内 容 如 下 （ 日 历 和 浏 览 器 信 息 在 此 版 本 中 暂 未 实 现 ） ： 上 传 用 户 隐 私 信 息 ： 此 外 ， 该 病 毒 还 通 过 W a t c h d o g 对 短 信 、 联 系 人 和 通 话 记 录 进 行 监 控 ， 一 旦 这 些 内 容 发 生 变 化 就 会 将 相 关 信 息 上 传 到 远 程 服 务 器 。 在 上 传 时 该 病 毒 会 使 用 感 染 用 户 的 G o o g l e 账 号 和 设 备 I M E I 作 为 账 号 密 码 进 行 登 录 ， 然 后 进 行 上 传 操 作 。 进 行 登 录 操 作 返 回 T o k e n ：
上 传 通 话 记 录 ： 上 传 联 系 人 ： 上 传 短 信 ： 攻 击 电 话 功 能 C u r i o s i t y 病 毒 会 在 用 户 拨 打 电 话 时 自 动 跳 转 到 H o m e 界 面 并 静 默 挂 断 ， 也 会 静 默 挂 断 指 定 的 号 码 来 电 ， 导 致 手 机 电 话 功 能 几 乎 崩 溃 。 拨 打 电 话 时 跳 转 到 手 机 的 H o m e 界 面 ：
静 默 挂 断 电 话 ： 总 结 总 结 C u r i o s i t y 病 毒 运 行 后 获 取 感 染 手 机 的 联 系 人 信 息 ， 并 向 联 系 人 群 发 容 易 引 起 好 奇 心 的 短 信 内 容 , 以 诱 导 收 件 人 点 击 短 信 中 的 恶 意 下 载 链 接 ， 进 行 蠕 虫 病 毒 传 播 并 进 一 步 形 成 “ 僵 尸 网 络 ” ， 手 段 极 其 狡 猾 。 同 时 该 病 毒 会 基 于 用 户 自 身 的 G o o g l e 账 户 注 册 C 2 D M 推 送 模 块 ， 通 过 该 模 块 将 远 程 控 制 指 令 推 送 到 用 户 手 机 中 ， 后 续 基 于 远 程 指 令 进 行 的 更 深 层 次 的 恶 意 行 为 。 利 用 第 三 方 平 台 进 行 指 令 推 送 ， 手 段 隐 蔽 且 成 本 较 低 ， 是 远 程 控 制 病 毒 的 发 展 趋 势 。 值 得 注 意 的 是 ， 该 病 毒 并 没 有 包 含 恶 意 扣 费 、 推 送 广 告 等 常 见 的 可 获 利 恶 意 行 为 ， 只 有 上 传 用 户 隐 私 信 息 和 导 致 电 话 功 能 瘫 痪 等 影 响 用 户 正 常 使 用 手 机 的 恶 意 行 为 。 联 想 到 最 近 国 内 发 生 的 多 起 电 信 诈 骗 的 事 件 ， 事 件 中 的 受 害 者 被 不 法 者 利 用 隐 私 信 息 骗 取 信 任 ， 后 续 进 行 诈 骗 行 为 。 该 病 毒 的 恶 意 开 发 者 后 续 也 有 利 用 窃 取 的 隐 私 信 息 对 感 染 用 户 进 行 精 准 电 信 诈 骗 的 潜 在 可 能 ， 使 得 感 染 用 户 的 财 产 面 临 极 大 的 安 全 隐 患 。
安 全 建 议 安 全 建 议 针 对 C u r i o s i t y 系 列 病 毒 ， A V L 移 动 反 病 毒 引 擎 集 成 合 作 方 产 品 和 猎 豹 专 杀 工 具 已 经 实 现 全 面 查 杀 。 安 天 A V L 移 动 安 全 和 猎 豹 移 动 安 全 实 验 室 提 醒 您 ： 1 . 谨 防 电 信 诈 骗 ， 不 要 随 意 点 击 任 何 未 知 来 源 或 奇 怪 短 信 中 的 链 接 。 2 . 请 保 持 良 好 的 上 网 习 惯 ， 不 要 在 非 官 方 网 站 或 者 不 知 名 应 用 市 场 下 载 任 何 应 用 。 3 . 强 烈 建 议 您 使 用 安 全 软 件 ， 并 保 持 定 期 扫 描 的 良 好 习 惯 A V L   T e a m 安 天 A V L 移 动 安 全 团 队 专 注 于 移 动 互 联 网 安 全 技 术 研 究 及 反 病 毒 引 擎 研 发 ， 为 合 作 伙 伴 提 供 强 大 的 移 动 安 全 解 决 方 案 。 A V L 移 动 反 病 毒 引 擎 致 力 于 为 企 业 和 厂 商 伙 伴 提 供 针 对 性 的 移 动 终 端 威 胁 防 护 解 决 方 案 ， 如 病 毒 检 测 、 金 融 安 全 防 护 、 上 网 安 全 防 护 等 安 全 能 力 输 出 。 目 前 已 与 众 多 知 名 厂 商 达 成 战 略 合 作 ， 为 猎 豹 、 小 米 M I U I 、 阿 里 云 Y u n O S 、 O P P O 、 努 比 亚 、 步 步 高 、 L B E 、 安 卓 清 理 大 师 、 A M C 等 合 作 伙 伴 提 供 移 动 反 恶 意 代 码 能 力 ， 为 全 球 过 亿 终 端 用 户 保 驾 护 航 。 更 多 技 术 文 章 ， 请 关 注 A V L   T e a m 官 方 微 信 号 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理