搜索

[12899] 2018-07-03_当“宿主”披上QQ盗号的外衣

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-07-03_当“宿主”披上QQ盗号的外衣 当 “ 宿 主 ” 披 上 Q Q 盗 号 的 外 衣 暗 影 安 全 实 验 室   F r e e B u f   2 0 1 8 - 0 7 - 0 3 导 读 ： 生 物 学 上 病 毒 侵 入 的 细 胞 就 叫 宿 主 细 胞 ， 而 病 毒 则 借 助 宿 主 的 蛋 白 质 和 其 他 物 质 制 造 自 己 的 身 体 ， 由 于 导 读 ： 生 物 学 上 病 毒 侵 入 的 细 胞 就 叫 宿 主 细 胞 ， 而 病 毒 则 借 助 宿 主 的 蛋 白 质 和 其 他 物 质 制 造 自 己 的 身 体 ， 由 于 控 制 细 胞 增 殖 的 结 构 基 因 发 生 突 变 ， 调 节 系 统 对 它 失 去 控 制 ， 结 果 就 会 造 成 细 胞 无 限 的 增 殖 。 生 物 学 病 毒 侵 入 控 制 细 胞 增 殖 的 结 构 基 因 发 生 突 变 ， 调 节 系 统 对 它 失 去 控 制 ， 结 果 就 会 造 成 细 胞 无 限 的 增 殖 。 生 物 学 病 毒 侵 入 细 胞 的 过 程 是 吸 附 细 胞 的 过 程 是 吸 附 — 植 入 植 入 — 复 制 复 制 — 分 裂 分 裂 — 然 后 不 停 的 复 制 ， 那 么 互 联 网 上 的 病 毒 又 是 如 何 进 行 侵 入 和 增 殖 传 播 然 后 不 停 的 复 制 ， 那 么 互 联 网 上 的 病 毒 又 是 如 何 进 行 侵 入 和 增 殖 传 播 的 呢 ？ 的 呢 ？ 一 、 伪 装 与 传 播 概 述 一 、 伪 装 与 传 播 概 述 近 期 ， 暗 影 实 验 室 在 移 动 终 端 上 发 现 一 款 病 毒 软 件 ， 初 看 之 下 是 一 款 老 生 常 谈 的 Q Q 盗 号 软 件 ， 通 过 输 入 要 获 得 密 码 的 Q Q 号 ， 一 键 进 行 密 码 盗 取 。 但 经 过 安 全 人 员 的 分 析 ， 发 现 它 是 醉 翁 之 意 不 在 酒 ， 表 面 是 Q Q 盗 号 ， 其 实 际 是 进 行 第 三 方 病 毒 的 传 播 与 推 广 ， 其 传 播 方 式 是 几 何 级 的 增 长 ， 类 似 生 物 学 上 癌 变 细 胞 的 增 殖 ， 我 们 称 之 为 “ 宿 主 ” 。 二 、 宿 主 与 病 毒 的 增 殖 公 式 二 、 宿 主 与 病 毒 的 增 殖 公 式 此 款 “ 宿 主 ” 软 件 ， 它 最 大 的 特 点 在 于 其 推 广 扩 散 速 度 ， 造 成 的 影 响 也 是 十 分 恶 劣 。 经 研 究 ， 我 们 对 其 推 广 的 流 程 做 出 详 细 分 析 和 演 算 设 定 基 数 的 推 算 公 式 。 从 一 个 “ 宿 主 ” 软 件 出 发 ， 设 定 1 个 用 户 被 骗 ， 此 用 户 会 直 接 从 “ 宿 主 ” 推 广 中 下 载 1 个 病 毒 软 件 ； 之 后 此 用 户 为 了 查 看 破 解 成 功 的 密 码 ， 进 行 了 1 0 个 Q Q 群 的 分 享 ； 在 群 分 享 信 息 中 ， 包 含 了 病 毒 推 广 群 的 信 息 ， 以 最 小 基 数 设 定 ， 假 设 每 个 分 享 群 中 有 1 个 用 户 进 入 了 病 毒 群 ； 在 每 个 病 毒 推 广 群 消 息 “ 邀 1 0 人 进 群 给 5 0 元 ” 中 ， 有 1 人 受 骗 ， 邀 了 1 0 人 进 群 ； 在 每 个 病 毒 推 广 群 文 件 中 平 均 有 2 个 不 同 变 种 的 “ 宿 主 ” 软 件 和 2 个 病 毒 软 件 ， 从 1 人 受 骗 ， 到 1 0 个 分 享 群 每 个 1 人 受 骗 ， 再 到 病 毒 推 广 群 每 群 1 人 受 骗 邀 请 1 0 人 进 群 ， 共 受 骗 人 数 合 计 1 1 1 ， 病 毒 和 “ 宿 主 ” 使 用 次 数 4 4 4 人 次 。 看 似 数 字 很 小 ， 但 是 在 这 个 流 程 推 算 中 ， 我 们 一 直 假 设 的 是 最 小 基 数 1 。 为 了 更 直 观 的 看 到 它 的 传 播 途 径 和 扩 散 量 ， 下 面 使 用 简 单 的 流 程 图 进 行 表 示 ， 如 图 2 - 1 所 示 ：
图 2 - 1   病 毒 传 播 流 程 三 、 宿 主 解 剖 三 、 宿 主 解 剖 “ 宿 主 ” 软 件 的 分 析 ， 可 以 从 两 个 方 面 入 手 ， 一 是 其 伪 装 成 Q Q 盗 号 的 软 件 ， 欺 骗 用 户 使 用 和 分 享 ， 具 有 诱 骗 欺 诈 行 为 ； 二 是 其 利 用 色 情 信 息 诱 导 用 户 下 载 病 毒 软 件 ， 进 入 传 播 Q Q 群 ， 具 有 流 氓 行 为 。 自 监 测 到 此 “ 宿 主 ” 软 件 至 今 ， 它 已 有 多 个 病 毒 变 种 ， 以 下 分 析 以 原 病 毒 为 主 ， 变 种 病 毒 为 辅 助 补 充 。 3 . 1   撕 下 撕 下 Q Q 盗 号 的 面 纱 盗 号 的 面 纱 该 软 件 利 用 有 不 正 之 心 的 人 的 心 理 ， 使 用 多 种 手 段 ， 伪 装 成 Q Q 盗 号 软 件 ， 通 过 诱 导 和 欺 骗 的 方 式 使 用 户 下 载 和 推 广 病 毒 软 件 ， 以 下 对 其 如 何 进 行 诱 骗 欺 诈 从 软 件 交 互 和 代 码 实 现 双 管 齐 下 进 行 解 析 。 用 户 进 入 软 件 后 ， 首 先 收 到 类 似 免 责 声 明 或 善 意 提 醒 的 通 知 ， 实 则 表 明 软 件 功 能 ， 诱 导 用 户 使 用 。 其 运 行 首 页 ， 如 图 3 - 1 所 示 ： 图 3 - 1   首 页 提 示 为 了 打 消 用 户 的 顾 虑 ， 获 取 用 户 的 信 任 ， 使 用 欺 骗 手 段 ， 利 用 技 术 制 造 随 机 生 成 的 隐 匿 扣 扣 号 破 解 成 功 的 轮 播 消 息 。 虚 假 轮 播 破 解 成 功 消 息 的 软 件 交 互 界 面 和 实 现 源 码 ， 如 图 3 - 2 、 图 3 - 3 所 示 ：
图 3 - 2 虚 假 轮 播 破 解 成 功 消 息 的 软 件 交 互 界 面 图 3 - 3 虚 假 轮 播 破 解 成 功 消 息 的 实 现 源 码 随 后 我 们 使 用 测 试 号 试 用 一 下 ， 会 发 现 在 进 度 日 志 框 中 ， 正 在 “ 加 载 腾 讯 Q Q 漏 洞 封 包 模 块 ” 、 “ 加 载 腾 讯 Q Q 密 码 破 解 脚 本 ” 、 “ 检 测 腾 讯 Q Q 服 务 器 端 口 ” … … ， 那 么 是 否 真 的 如 它 所 说 ， 在 执 行 这 些 操 作 呢 ， 我 们 进 入 源 码 一 探 ， 发 现 这 其 实 也 是 一 种 诱 诈 欺 骗 。 虚 假 操 作 日 志 软 件 交 互 界 面 和 实 现 源 码 ， 如 图 3 - 3 、 图 3 - 4 所 示 ：
图 3 - 3 虚 假 操 作 日 志 软 件 交 互 界 面 图 3 - 4 虚 假 操 作 日 志 实 现 源 码 接 下 来 的 事 乍 看 之 下 更 加 令 人 震 惊 ， 如 果 不 是 一 名 技 术 人 员 ， 真 的 要 被 骗 了 ， 等 密 码 显 示 已 破 解 成 功 时 ， 密 码 为 * * ， 虽 然 密 码 看 不 到 ， 但 是 我 们 的 头 像 已 经 赫 然 显 示 了 出 来 ， 怀 着 质 疑 的 心 理 我 们 继 续 扒 代 码 ， 结 局 也 是 无 比 震 惊 。 它 使 用 了 某 厂 的 获 取 头 像 的 a p i 接 口 h t t p : / / * * . * * * . * * / h e a d i m g _ d l ， 在 此 也 希 望 为 了 用 户 的 隐 私 安 全 ， 能 够 对 其 采 取 一 定 的 安 全 防 护 措 施 。 获 取 Q Q 头 像 的 软 件 交 互 界 面 和 实 现 源 码 ， 如 图 3 - 5 、 图 3 - 6 所 示 ：
图 3 - 5 获 取 Q Q 头 像 的 软 件 交 互 界 面 图 3 - 6 获 取 Q Q 头 像 的 实 现 源 码 在 显 示 破 解 成 功 之 后 ， 为 了 进 一 步 获 取 用 户 的 信 任 ， 软 件 假 意 尝 试 登 录 Q Q , 用 户 看 来 ， 它 会 打 开 Q Q , 进 行 登 录 操 作 ， 发 现 真 的 提 示 登 录 成 功 了 。 作 为 技 术 人 员 的 我 依 旧 不 信 ， 来 到 源 码 中 ， 我 发 现 所 为 的 打 开 扣 扣 登 录 ， 不 过 是 加 载 提 前 准 备 好 的 Q Q 登 录 界 面 为 背 景 ， 将 你 要 破 解 的 Q Q 显 示 在 上 面 ， 为 了 大 家 一 眼 看 破 它 的 骗 术 ， 这 里 将 手 机 的 开 发 者 选 项 中 显 示 布 局 边 界 模 式 打 开 。 Q Q 登 录 界 面 和 应 用 资 源 文 件 ， 如 图 3 - 7 所 示 ：
图 3 - 7   Q Q 登 录 界 面 和 应 用 资 源 文 件 3 . 2   宿 主 的 增 殖 宿 主 的 增 殖 该 “ 宿 主 ” 软 件 ， 其 真 实 目 的 是 在 于 传 播 病 毒 软 件 ， 虽 然 伪 装 成 Q Q 盗 号 ， 测 试 登 录 成 功 ， 但 用 户 是 不 可 能 看 到 Q Q 内 部 信 息 的 ， 上 面 也 说 过 了 。 当 你 真 的 相 信 它 能 够 获 取 Q Q 密 码 之 后 ， 它 就 开 始 了 自 己 的 计 划 。 先 后 通 过 诱 导 用 户 Q Q 群 分 享 ， 下 载 安 装 色 情 软 件 ， 之 后 进 行 Q Q 群 内 分 发 等 进 行 着 “ 宿 主 ” 和 病 毒 软 件 的 爆 炸 式 增 殖 。 首 先 ， 提 示 密 码 获 取 成 功 之 后 ， 用 户 看 到 的 是 * 字 符 ， 软 件 提 示 用 户 ， 如 果 需 要 获 取 密 码 ， 则 必 须 分 享 信 息 到 1 0 个 不 同 的 Q Q 群 ， 诱 导 分 享 的 软 件 交 互 界 面 ， 如 图 3 - 8 所 示 ： 图 3 - 8 诱 导 分 享 的 软 件 交 互 界 面
我 们 尝 试 进 行 分 享 ， 分 享 的 信 息 中 不 是 此 软 件 的 使 用 信 息 ， 而 是 诱 导 用 户 进 入 某 个 扣 扣 群 的 信 息 ， 在 对 源 码 分 析 时 ， 我 们 可 以 发 现 它 的 多 个 Q Q 群 号 码 。 分 享 信 息 Q Q 群 ， 如 图 3 - 9 所 示 ： 图 3 - 9 分 享 信 息 Q Q 群 在 最 新 版 的 病 毒 源 码 中 ， 我 们 无 法 直 接 获 取 分 享 推 广 的 Q Q 群 ， 因 为 它 从 服 务 器 动 态 的 获 取 ， 通 过 分 析 我 们 获 取 到 它 的 服 务 器 地 址 是 h t t p : / / w w w . * * . c n / j . t x t ， 抓 取 协 议 包 内 容 ， 得 到 分 享 信 息 Q Q 群 ， 如 图 3 - 1 0 所 示 ： 图 3 - 1 0   服 务 器 分 享 Q Q 群 信 息 得 到 它 大 量 的 推 广 Q Q   群 之 后 ， 我 们 伪 装 成 受 骗 用 户 ， 加 入 群 聊 ， 看 到 它 在 不 断 的 诱 导 用 户 分 享 和 使 用 “ 宿 主 ” 软 件 和 病 毒 软 件 ， 下 面 是 病 毒 推 广 Q Q 群 6 0 2 * 4 6 2 的 共 享 群 文 件 ， 如 图 3 - 1 1 所 示 ：
图 3 - 1 1 共 享 群 文 件 其 次 ， 除 了 上 面 诱 导 用 户 获 取 破 解 成 功 的 Q Q   密 码 进 行 分 享 拉 人 进 群 ， 之 后 再 进 行 传 播 之 外 ， “ 宿 主 ” 软 件 本 身 也 集 成 了 动 态 的 推 广 下 载 功 能 ， 它 使 用 色 情 信 息 为 诱 因 ， 诱 导 用 户 进 行 下 载 和 使 用 病 毒 软 件 ， 诱 导 用 户 进 行 下 载 的 伪 装 色 情 信 息 软 件 交 互 界 面 ， 如 图 3 - 1 2 所 示 ： 图 3 - 1 2   伪 装 色 情 信 息 软 件 交 互 界 面 经 过 研 究 和 测 试 ， 发 现 用 户 点 击 下 载 之 后 ， 并 不 能 时 常 如 愿 ， 下 载 得 到 的 病 毒 软 件 可 能 是 色 情 软 件 ， 也 可 能 是 游 戏 类 软 件 等 ， 它 的 下 载 地 址 是 动 态 的 从 服 务 器 端 获 取 得 到 的 ， 通 过 技 术 手 段 得 到 它 的 服 务 器 地 址 是 h t t p : / / w w w . * * . c n / 1 . t x t 和 备 用 地 址 h t t p : / / w w w . * * . t o p / 1 . t x t ， 获 取 协 议 包 的 内 容 ， 可 以 获 取 推 广 病 毒 软 件 的 下 载 地 址 h t t p : / / s t o r e . * . c o m / a p k / s e l f / t y t a n 0 6 0 5 1 1 1 . a p k ， 此 病 毒 下 载 地 址 为 动 态 的 变 化 地 址 ， 一 般 根 据 响 应 体 中 的 应 用 名 变 化 ， 如 图 3 - 1 3 所 示 ：
图 3 - 1 3   推 广 病 毒 软 件 的 下 载 地 址 四 、 推 广 病 毒 查 杀 四 、 推 广 病 毒 查 杀 在 利 益 的 驱 使 下 ， “ 宿 主 ” 软 件 经 过 不 断 的 变 型 和 更 新 ， 它 推 广 的 病 毒 也 在 不 断 的 增 加 ， 从 色 情 类 到 游 戏 类 ， 从 色 情 推 广 到 私 自 发 送 短 信 订 制 扣 费 业 务 ， 它 的 恶 意 也 是 不 断 的 传 播 开 来 。 在 此 ， 我 们 对 其 具 有 代 表 性 的 推 广 病 毒 进 行 恶 意 行 为 研 判 和 主 要 恶 意 行 为 的 简 单 分 析 。 我 们 分 析 一 款 名 称 为 “ 宅 男 福 利 社 ” 的 推 广 软 件 ， 经 过 研 究 人 员 研 判 ， 该 软 件 主 要 具 有 以 下 主 要 恶 意 行 为 。 软 件 运 行 后 ， 请 求 发 送 短 信 ， 删 除 短 信 ， 获 取 联 系 人 等 权 限 ， 之 后 私 自 发 送 短 信 订 制 扣 费 业 务 ， 具 有 恶 意 扣 费 属 性 ； 软 件 运 行 期 间 ， 监 听 用 户 短 信 ， 获 取 用 户 联 系 人 和 电 话 ， 具 有 隐 私 窃 取 属 性 。 4 . 1   恶 意 扣 费 恶 意 扣 费 软 件 运 行 时 ， 得 到 发 送 和 删 除 短 信 的 权 限 后 ， 开 启 疯 狂 发 送 订 购 短 信 的 模 式 ， 发 送 短 信 的 交 互 界 面 与 手 机 短 信 箱 ， 如 图 4 - 1 所 示 ：
图 4 - 1 发 送 短 信 的 交 互 界 面 与 手 机 短 信 箱 之 后 我 们 通 过 抓 取 协 议 包 ， 可 以 看 到 它 的 发 送 内 容 和 主 控 地 址 h t t p : / / * * * . * * * . * * * / i n d e x . p h p / A P I / U r l P l u s / s o i d / 8 m h 1 g v q p c k g n v s E 8 p t a l A n E e ， 如 图 4 - 2 所 示 ： 图 4 - 2   发 送 内 容 和 主 控 地 址 最 后 我 们 计 入 源 码 ， 发 现 发 送 短 信 的 地 方 很 多 ， 这 里 我 们 取 其 中 一 处 ， 如 图 4 - 3 所 示 ： 图 4 - 3   发 送 短 信 4 . 2   隐 私 窃 取 隐 私 窃 取 软 件 运 行 后 ， 私 自 监 听 用 户 短 信 ， 获 取 用 户 设 备 信 息 和 电 话 号 码 。 A n d r o i d 中 监 听 用 户 短 信 ， 一 般 需 要 申 请 权 限 — 注 册 广 播 接 收 者 — 监 听 解 析 短 信 内 容 ， 这 里 我 们 只 做 简 单 分 析 ， 从 源 码 中 获 取 到 短 信 监 听 的 恶 意 代 码 ， 如 图 4 - 4 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理