搜索

[12730] 2018-05-21_最强后门刷榜病毒，“隐流者”家族盯上70%的国内应用市场

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2018-05-21_最强后门刷榜病毒，“隐流者”家族盯上70%的国内应用市场 最 强 后 门 刷 榜 病 毒 ， “ 隐 流 者 ” 家 族 盯 上 7 0 % 的 国 内 应 用 市 场 腾 讯 手 机 管 家   F r e e B u f   2 0 1 8 - 0 5 - 2 1 近 期 ， 依 托 腾 讯 安 全 大 数 据 ， 腾 讯 安 全 反 诈 骗 实 验 室 自 研 的 近 期 ， 依 托 腾 讯 安 全 大 数 据 ， 腾 讯 安 全 反 诈 骗 实 验 室 自 研 的 T R P - A I 反 病 毒 智 能 引 擎 捕 获 到 某 色 情 病 毒 家 族 存 反 病 毒 智 能 引 擎 捕 获 到 某 色 情 病 毒 家 族 存 在 流 量 异 常 行 为 ， 腾 讯 安 全 研 究 人 员 研 究 发 现 ， 该 色 情 病 毒 家 族 集 成 了 一 个 名 为 在 流 量 异 常 行 为 ， 腾 讯 安 全 研 究 人 员 研 究 发 现 ， 该 色 情 病 毒 家 族 集 成 了 一 个 名 为   “ 隐 流 者 隐 流 者 ” 的 应 用 刷 单 病 毒 ， 该 的 应 用 刷 单 病 毒 ， 该 病 毒 家 族 将 自 身 植 入 到 支 付 插 件 中 ， 然 后 利 用 混 淆 ， 关 键 信 息 加 密 ， 核 心 代 码 剥 离 ， 恶 意 代 码 分 多 次 下 载 等 技 病 毒 家 族 将 自 身 植 入 到 支 付 插 件 中 ， 然 后 利 用 混 淆 ， 关 键 信 息 加 密 ， 核 心 代 码 剥 离 ， 恶 意 代 码 分 多 次 下 载 等 技 术 手 段 来 绕 过 传 统 病 毒 引 擎 查 杀 。 术 手 段 来 绕 过 传 统 病 毒 引 擎 查 杀 。 腾 讯 安 全 研 究 人 员 指 出 隐 流 者 病 毒 家 族 除 了 隐 蔽 性 极 强 的 特 性 之 外 , 其 隐 匿 于 用 户 量 极 大 的 色 情 和 游 戏 进 行 传 播 可 以 持 续 获 取 到 足 够 的 流 量 来 布 局 刷 量 变 现 平 台 . 该 病 将 真 实 用 户 设 备 改 造 成 后 门 刷 量 客 户 端 , 然 后 通 过 云 端 控 制 的 方 式 让 中 招 用 户 完 成 应 用 市 场 刷 量 任 务 。 根 据 对 隐 流 者 病 毒 完 善 的 刷 榜 流 程 , 安 全 研 究 人 员 其 主 要 存 在 以 下 风 险 ： 1 、 应 用 市 场 平 台 的 生 态 安 全 ： 隐 流 者 病 毒 可 以 绕 过 应 用 市 场 的 虚 假 设 备 检 测 功 能 , 实 现 对 应 用 的 快 速 刷 取 排 名 , 影 响 应 用 市 场 排 名 的 公 平 性 ； 2 、 应 用 开 发 者 的 营 销 损 失 ： 其 可 以 针 对 竞 争 对 手 进 行 虚 假 下 载 攻 击 , 应 用 开 发 者 投 入 的 大 量 市 场 推 广 费 用 最 终 换 来 的 可 能 是 虚 假 用 户 。 一 一   、 该 家 族 病 毒 主 要 危 害 、 该 家 族 病 毒 主 要 危 害 1 、 模 拟 刷 榜 功 能 、 模 拟 刷 榜 功 能 逆 向 分 析 各 大 手 机 应 用 市 场 搜 索 协 议 , 利 用 中 招 设 备 发 送 模 拟 搜 索 请 求 , 接 着 解 析 返 回 数 据 获 取 指 定 应 用 信 息 , 进 行 应 用 下 载 安 装 的 操 作 , 最 终 完 成 指 定 应 用 的 刷 榜 的 行 为 . 该 功 能 还 可 用 户 打 击 竞 争 对 手 的 应 用 , 快 速 消 耗 竞 品 的 广 告 费 用 . （ 疑 似 可 能 被 刷 榜 的 部 分 应 用 ） 2   欺 诈 扣 费 功 能 欺 诈 扣 费 功 能 勾 起 用 户 的 欲 望 , 自 动 订 阅 各 种 短 信 收 费 服 务 . 。
二 、 该 家 族 的 传 播 方 式 二 、 该 家 族 的 传 播 方 式 “ 隐 流 者 ” 将 后 门 代 码 植 入 到 名 为 c m n p a y 的 恶 意 支 付 插 件 中 , 任 何 使 用 该 支 付 插 件 的 应 用 都 可 执 行 相 应 的 恶 意 代 码 . 目 前 该 恶 意 支 付 插 件 主 要 的 使 用 者 是 色 情 刚 需 应 用 和 部 分 的 游 戏 应 用 . 三 三   、 病 毒 样 本 的 攻 击 流 程 、 病 毒 样 本 的 攻 击 流 程
1   使 用 支 付 使 用 支 付 S D K 的 应 用 会 主 动 将 其 加 载 起 来 的 应 用 会 主 动 将 其 加 载 起 来   2   恶 意 代 码 执 行 流 程 恶 意 代 码 执 行 流 程   3   隐 流 者 详 细 分 析 过 程 隐 流 者 详 细 分 析 过 程 3 . 1   G e n e r a l S e r v i c e . o n S t a r t 方 法 ， 等 待 一 段 时 间 后 ， 初 始 化 各 种 插 件 3 . 2 初 始 化 插 件 的 过 程 中 ， c o m . X Y f N R j p l X N f . a . c $ 1 的 r u n ( ) 方 法 会 链 接 云 端 服 务 器 ， 下 载 云 端 配 置 文 件 , 解 密 以 后 获 取 到 相 应 d e x 子 包 的 下 载 地 址
根 据 抓 包 分 析 ， 服 务 器 域 名 为 s u a n n * n . c o m ， 下 载 插 件 的 网 络 数 据 如 下 所 示 ： 3 . 3   其 中 配 置 为 s d k _ p p 的 d e x 子 包 s d k _ m o d 2 会 进 一 步 从 云 端 下 载 刷 量 相 关 的 几 个 子 包 4   隐 流 者 核 心 模 块 的 工 作 原 理 隐 流 者 核 心 模 块 的 工 作 原 理 4 . 1   恶 意 子 包 p _ s t e _ 1 根 据 云 端 下 发 的 配 置 信 息 针 对 应 用 市 场 进 行 应 用 搜 索 和 下 载 刷 量 的 行 为 。 4 . 1 . 1   解 析 云 端 的 配 置 信 息
4 . 1 . 2   针 对 不 同 的 市 场 进 行 操 作 ， 几 乎 涵 盖 国 内 各 大 应 用 市 场 4 . 1 . 3   抽 象 定 义 的 基 类 ， 按 照 热 词 搜 索 应 用 、 下 载 应 用 等 刷 量 行 为
4 . 2   通 过 逆 向 各 个 应 用 市 场 相 关 A P I 接 口 , 根 据 应 用 市 场 的 不 同 实 现 不 同 的 刷 量 逻 辑 , 模 拟 相 关 网 络 请 求 , 解 析 返 回 数 据 , 最 终 实 现 刷 量 的 目 标 4 . 2 . 1   某 应 用 市 场 实 现 案 例 ( 1 )   伪 造 搜 索 请 求 ， 根 据 关 键 字 获 取 搜 索 结 果
( 应 用 市 场 返 回 的 搜 索 接 口 数 据 ) ( 2 )   伪 造 请 求 , 获 取 相 关 应 用 的 详 细 信 息
( 3 )   伪 造 下 载 请 求 请 求
四 、 溯 源 信 息 四 、 溯 源 信 息 通 过 对 隐 流 者 的 相 关 信 息 溯 源 发 现 , 该 幕 后 黑 手 是 位 于 深 圳 的 厂 商 五 、 查 杀 和 防 御 五 、 查 杀 和 防 御 1   应 用 厂 商 防 御 建 议 应 用 厂 商 防 御 建 议 对 应 用 市 场 A P I 进 行 鉴 权 操 作 , 仅 允 许 官 方 应 用 进 行 访 问 , 避 免 A P I 接 口 被 滥 用
建 立 应 用 市 场 增 长 应 用 监 控 机 制 , 避 免 大 规 模 刷 榜 行 为 与 安 全 厂 商 进 行 合 作 打 通 安 全 情 报 , 通 过 合 作 发 现 打 击 刷 榜 行 为 2   用 户 查 杀 防 御 建 议 用 户 查 杀 防 御 建 议 安 装 手 机 防 护 软 件 即 可 查 杀 防 御 该 病 毒 家 族 * 本 文 作 者 ： 腾 讯 手 机 管 家 ， 转 载 请 注 明 来 自 本 文 作 者 ： 腾 讯 手 机 管 家 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理