搜索

[12126] 2017-12-17_地下暗流系列“免费雇佣”数十万用户，TigerEyeing病毒云控推广上千应用

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-12-17_地下暗流系列“免费雇佣”数十万用户，TigerEyeing病毒云控推广上千应用 地 下 暗 流 系 列   | “ 免 费 雇 佣 ” 数 十 万 用 户 ， T i g e r E y e i n g 病 毒 云 控 推 广 上 千 应 用 腾 讯 手 机 管 家   F r e e B u f   2 0 1 7 - 1 2 - 1 7 一 、 概 要 一 、 概 要 近 期 ， 腾 讯 反 诈 骗 实 验 室 和 移 动 安 全 实 验 室 通 过 自 研 A I 引 擎 — T R P ， 从 海 量 样 本 中 监 测 到 一 个 后 门 病 毒 家 族 T i g e r E y e i n g ， 据 腾 讯 反 诈 骗 实 验 室 和 移 动 安 全 实 验 室 安 全 专 家 分 析 发 现 ， T i g e r E y e i n g 病 毒 通 过 开 源 插 件 框 架 D r o i d P l u g i n 来 实 现 恶 意 插 件 动 态 下 发 ， 通 过 云 端 配 置 恶 意 插 件 列 表 来 实 现 应 用 恶 意 推 广 、 流 氓 广 告 等 行 为 ， 根 据 腾 讯 反 诈 骗 实 验 室 神 羊 情 报 系 统 溯 源 发 现 ， 位 于 深 圳 的 某 家 直 播 A P P 开 发 商 深 圳 * 虎 科 技 存 在 重 大 嫌 疑 。 “ T i g e r E y e i n g ” 木 马 长 期 潜 伏 用 户 设 备 ， 窃 取 用 户 隐 私 数 据 包 括 设 备 信 息 ， 应 用 安 装 列 表 ， 设 备 内 存 和 s d c a r d 容 量 等 信 息 上 报 服 务 器 ， 并 定 期 与 服 务 器 通 信 获 取 需 要 安 装 的 插 件 应 用 配 置 信 息 ， 使 用 D r o i d P l u g i n 框 架 来 加 载 运 行 插 件 应 用 ， 并 在 运 行 一 段 时 间 后 ， 删 除 运 行 过 的 插 件 应 用 ， 神 不 知 鬼 不 觉 的 进 行 各 种 恶 意 推 广 、 恶 意 广 告 等 流 氓 行 为 。 腾 讯 反 诈 骗 实 验 室 和 移 动 安 全 实 验 室 通 过 A I 引 擎 聚 类 关 联 发 现 ， “ T i g e r E y e i n g ” 木 马 主 要 通 过 以 下 几 种 方 式 大 量 传 播 ： Ø   游 戏 、 伪 色 情 应 用 等 r o o t 类 病 毒 注 入 系 统 r o m 内 Ø   伪 装 成 系 统 应 用 并 通 过 某 些 线 下 渠 道 进 行 推 广 目 前 腾 讯 手 机 管 家 已 经 全 面 支 持 查 杀 该 木 马 家 族 ， 用 户 可 以 下 载 腾 讯 手 机 管 家 进 行 查 杀 拦 截 。
二 、 病 毒 影 响 面 二 、 病 毒 影 响 面 三 、 三 、 “ T i g e r E y e i n g ” 木 马 详 细 分 析 木 马 详 细 分 析 3 . 1   感 染 方 式 感 染 方 式 “ T i g e r E y e i n g ” 木 马 通 过 嵌 入 了 r o o t 能 力 的 游 戏 、 伪 色 情 应 用 进 行 大 范 围 推 广 。 我 们 选 取 了 其 中 一 个 伪 色 情 应 用 ： 女 优 猜 猜 猜   进 行 详 细 分 析 。 1 ） 病 毒 基 本 流 程 ：
2 ） 病 毒 功 能 分 析 病 毒 运 行 后 ， 首 先 初 始 化 各 种 短 信 扣 费 s d k ， 进 行 短 信 扣 费 S p * * 号 码 号 码 * * 发 送 内 容 发 送 内 容 1 0 6 * 0 0 0 C Z S X Z 1 0 6 5 * 0 1 9 5 2 0 2 2 0 0 # M 9 0 3 c 2 i z 1 0 6 * 8 0 1 8 H Y 3 0 3 1 0 6 * 7 8 A T … … 解 密 加 载 w r y g . d e x 子 包 w r y g . d e x 子 包 主 要 功 能 是 下 载 r o o t 子 包 进 行 提 权 ， 并 在 提 权 成 功 后 ， 将 “ T i g e r E y e i n g ” 木 马 应 用 植 入 系 统 r o m 内
2 0 1 7 x x x x x x . j a r 为 r o o t 子 包 ， 被 动 态 加 载 后 ， 下 载 运 行 p o c 文 件 进 行 提 权 相 关 可 执 行 文 件
病 毒 r o o t 成 功 后 ， 会 在 系 统 的 / s y s t e m / x b i n / 目 录 和 / s y s t e m / b i n 目 录 下 释 放 多 个 r o o t   d e a m o n 文 件 ， 用 于 方 便 其 他 恶 意 模 块 快 速 的 获 取 r o o t 权 限 。 主 要 文 件 有 : / s y s t e m / b i n / c u f s d o s c k   / s y s t e m / x b i n / c u f s d o s c k / s y s t e m / b i n / c u f s m g r   / s y s t e m / x b i n / c u f s m g r / s y s t e m / b i n / c u f a e v d d   / s y s t e m / x b i n / c u f a e v d d / s y s t e m / b i n / c o n b b   / s y s t e m / x b i n / c o n b b ‘ T i g e r E y e i n g ’ 木 马 应 用 ， 主 要 有 软 件 名 软 件 名 包 名 包 名 * 管 理 工 具 c o m . a n d r o i d . s y s . * * . v s l e b S y s t e m * * c o m . a n d r o i d s . s y s . * * * 中 心 c o m . s y s . * * . c e n t e r s * 管 理 c o m . s y s . * . m a n g e s “ T i g e r E y e i n g ” 木 马 应 用 被 植 入 r o m 内 或 直 接 安 装
病 毒 相 关 u r l 说 明 3 . 2   “ T i g e r E y e i n g ” 木 马 分 析 ， 以 系 统 管 理 工 具 为 例 木 马 分 析 ， 以 系 统 管 理 工 具 为 例 1 、 使 用 了 D r o i d P l u g i n 插 件 框 架

D r o i d P l u g i n   是 A n d y   Z h a n g 在 A n d r o i d 系 统 上 实 现 了 一 种 新 的 插 件 机 制 ， 通 过 H o o k 了 A n d r o i d 系 统 F r a m e w o r k 层 的 很 多 系 统 服 务 ， 欺 骗 了 大 部 分 的 系 统 A P I ， 它 可 以 在 无 需 安 装 、 修 改 的 情 况 下 以 插 件 形 式 运 行 A P K 文 件 ， 插 件 的 A c t i v i t y 、 S e r v i c e 、 B r o a d c a s t R e c e i v e r 、 C o n t e n t P r o v i d e r 四 大 组 建 无 需 在 H o s t 程 序 中 注 册 。 占 位 A c t i v i t y 和 S e r v i c e H o o k   A M S
H o o k   P M S   2 、 应 用 启 动 后 ， 会 首 先 计 算 一 个 设 备 的 p h o n e _ u u i d ， 并 存 放 在 / s d c a r d / a n d r o i d / d a t a / m r g o 目 录 下 ， 用 于 标 识 设 备 的 唯 一 性 3 、 连 接 服 务 器 ， 上 报 设 备 相 关 信 息 ， 包 括 手 机 型 号 、 i m e i 、 i m s i 、 u u i d 、 网 络 、 应 用 安 装 列 表 信 息 、 内 存 和 s d c a r d 容 量 等 ， 获 取 服 务 器 下 发 的 配 置
C C 服 务 器 相 关 域 名 动 态 抓 取 的 上 报 信 息 除 了 推 送 应 用 外 ， 此 恶 意 程 序 还 窃 取 上 报 用 户 隐 私 数 据 ， 包 括 手 机 型 号 、 i m e i 、 i m s i 、 u u i d 、 网 络 、 应 用 安 装 列 表 信 息 、 内 存 和 s d c a r d 容 量 等
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理