搜索

[13003] 2018-07-30_盗版软件也疯狂之六耳猕猴显神通

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-07-30_盗版软件也疯狂之六耳猕猴显神通 盗 版 软 件 也 疯 狂 之 六 耳 猕 猴 显 神 通 暗 影 安 全 实 验 室   F r e e B u f   2 0 1 8 - 0 7 - 3 0 序 幕 序 幕 近 日 ， 笔 者 闲 暇 时 光 下 载 了 一 个 小 游 戏 进 行 玩 耍 ， 游 戏 结 束 后 没 再 管 它 ， 当 下 次 点 亮 手 机 时 ， 惊 奇 的 发 现 在 手 近 日 ， 笔 者 闲 暇 时 光 下 载 了 一 个 小 游 戏 进 行 玩 耍 ， 游 戏 结 束 后 没 再 管 它 ， 当 下 次 点 亮 手 机 时 ， 惊 奇 的 发 现 在 手 机 主 界 面 中 心 有 一 应 用 推 荐 轮 播 的 悬 浮 窗 。 对 于 移 动 端 技 术 人 员 来 说 ， 手 机 就 像 自 己 的 机 主 界 面 中 心 有 一 应 用 推 荐 轮 播 的 悬 浮 窗 。 对 于 移 动 端 技 术 人 员 来 说 ， 手 机 就 像 自 己 的 G F ， 这 种 匿 名 的 流 氓 行 ， 这 种 匿 名 的 流 氓 行 为 是 决 不 能 忍 的 。 对 其 进 行 了 解 剖 ， 发 现 其 核 心 源 码 竟 然 只 有 一 个 为 是 决 不 能 忍 的 。 对 其 进 行 了 解 剖 ， 发 现 其 核 心 源 码 竟 然 只 有 一 个 A P P 类 ， 经 调 查 ， 此 应 用 是 一 款 盗 版 应 用 ， 类 ， 经 调 查 ， 此 应 用 是 一 款 盗 版 应 用 ， 运 用 多 运 用 多 d e x 动 态 加 载 ， 反 射 ， 动 态 加 载 ， 反 射 ， N D K 开 发 ， 数 据 加 密 ， 代 码 混 淆 等 多 种 技 术 手 段 ， 这 让 我 联 想 起 了 我 们 耳 熟 能 详 开 发 ， 数 据 加 密 ， 代 码 混 淆 等 多 种 技 术 手 段 ， 这 让 我 联 想 起 了 我 们 耳 熟 能 详 的 真 假 美 猴 王 中 的 六 耳 猕 猴 ， 与 正 版 应 用 相 比 ， 也 算 是 神 通 广 大 了 。 的 真 假 美 猴 王 中 的 六 耳 猕 猴 ， 与 正 版 应 用 相 比 ， 也 算 是 神 通 广 大 了 。 谛 听 察 听 谛 听 察 听 如 何 判 定 这 款 游 戏 是 盗 版 应 用 呢 ， 我 们 要 像 西 游 记 中 的 谛 听 一 样 伏 地 聆 听 。 A n d r o i d   开 发 中 每 个 应 用 都 有 自 己 唯 一 的 签 名 ， 为 了 辨 别 应 用 的 真 伪 ， 我 们 来 到 正 规 的 应 用 商 店 进 行 了 下 载 ， 对 其 应 用 的 签 名 信 息 和 证 书 信 息 进 行 了 比 对 ， 比 对 的 结 果 如 图 1 - 1 所 示 ： 图 1 - 1   签 名 和 证 书 信 息 比 对 就 是 这 样 的 一 款 盗 版 应 用 ， 它 都 不 能 默 默 的 带 有 羞 耻 心 的 低 调 行 事 。 在 对 其 行 为 进 行 研 判 时 ， 发 现 它 申 请 了 二 十 多 项 权 限 ， 这 种 行 为 增 大 了 技 术 人 员 对 它 的 疑 心 。 经 技 术 人 员 研 判 发 现 ， 此 应 用 安 装 之 后 ， 会 发 送 大 量 的 短 信 ， 其 中 很 多 是 服 务 订 购 短 信 ， 会 给 用 户 造 成 恶 意 扣 费 其 次 ， 此 应 用 还 会 在 多 处 地 方 设 置 监 听 和 内 容 观 察 者 ， 会 监 听 用 户 的 短 信 信 息 ， 获 取 用 户 的 手 机 号 等 隐 私 信 息 ， 给 用 户 的 隐 私 安 全 带 来 威 胁 ； 之 后 ， 就 是 “ 默 默 奉 献 ” 、 “ 不 辞 辛 劳 ” 的 频 繁 给 用 户 推 广 各 种 应 用 ， 经 研 判 多 数 为 病 毒 应 用 ， 在 用 户 碰 触 到 广 告 悬 浮 窗 时 ， 直 接 下 载 推 广 的 应 用 ， 给 用 户 带 来 流 量 损 失 和 精 神 折 磨 。 猕 猴 之 七 十 二 变 猕 猴 之 七 十 二 变 上 文 已 经 介 绍 过 ， 此 款 盗 版 软 件 在 运 用 技 术 （ 其 中 包 含 病 毒 反 检 测 技 术 ） 上 具 有 多 样 化 ， 在 病 毒 行 为 上 更 是 疯 狂 ， 如 同 六 耳 猕 猴 同 样 具 有 美 猴 王 的 七 十 二 般 变 化 一 样 。 下 面 我 们 就 其 技 术 和 恶 意 行 为 进 行 简 单 的 分 析 和 介 绍 。 2 . 1 　 猕 猴 之 虚 空 其 身 　 猕 猴 之 虚 空 其 身 为 了 搞 清 楚 这 款 软 件 的 行 为 ， 首 先 必 须 是 对 其 进 行 反 编 译 ， 直 接 查 看 其 源 码 ， 对 比 正 版 应 用 ， 看 其 做 了 哪 些 改 变 ， 想 要 实 现 哪 些 目 的 。 打 开 其 源 码 的 一 刹 那 ， 有 些 吃 惊 ， 应 用 并 未 进 行 加 固 ， 代 码 却 少 的 可 怜 ， 只 有 一 个 启 动 的 A P P 类 ， 为 了 防 止 安 全 应 用 检 测 ， 也 算 是 煞 费 苦 心 ， 我 们 称 之 为 “ 虚 空 其 身 ” 。 正 版 软 件 的 代 码 结 构 我 们 不 方 便 贴 出 ， 盗 版 病 毒 软 件 的 代 码 结 构 如 图 2 - 1 所 示 ：
图 2 - 1   软 件 源 码 结 构 那 么 如 此 一 个 应 用 肯 定 不 是 一 个 连 A c t i v i t y 类 都 没 有 的 源 码 实 现 的 ， 我 们 就 猜 想 它 的 源 码 或 许 是 动 态 下 载 或 者 本 地 资 源 文 件 进 行 加 载 的 。 我 们 对 其 a s s e t s 文 件 进 行 查 看 ， 得 到 的 结 果 让 人 想 哭 ， 未 标 明 文 件 后 缀 的 文 件 近 达 3 0 0 个 ， 后 经 研 究 很 多 还 是 加 密 文 件 ， 如 图 2 - 2 所 示 ： 图 2 - 2   a s s e t s 文 件 为 了 找 到 其 真 正 的 源 码 文 件 ， 还 是 需 要 对 其 A P P 类 进 行 分 析 ， 根 据 D e x C l a s s L o a d e r 对 其 进 行 追 踪 和 解 密 之 后 得 到 了 下 面 这 个 字 符 串 “ a s s e t s / d a t a / A 8 1 6 C 5 F 3 A 0 7 1 6 5 F 0 D 7 9 4 B A E 0 1 8 C 2 D 0 C 3 3 0 7 3 4 4 2 1 ” ， 由 此 我 们 可 以 知 道 ， 它 是 采 用 本 地 资 源 文 件 进 行 了 d e x 动 态 加 载 ， 之 后 我 们 找 到 资 源 目 录 下 的 A 8 1 6 C 5 F 3 A 0 7 1 6 5 F 0 D 7 9 4 B A E 0 1 8 C 2 D 0 C 3 3 0 7 3 4 4 2 1 文 件 ， 添 加 d e x 文 件 后 缀 ， 进 行 反 编 译 查 看 ， 得 到 了 它 的 源 码 如 图 2 - 3 所 示 ：
图 2 - 3   d e x 反 编 译 源 码 如 果 我 们 以 为 A 8 1 6 C 5 F 3 A 0 7 1 6 5 F 0 D 7 9 4 B A E 0 1 8 C 2 D 0 C 3 3 0 7 3 4 4 2 1 文 件 就 包 含 了 其 全 部 源 码 ， 就 有 点 小 看 此 “ 猕 猴 ” 了 ， 在 进 一 步 的 分 析 中 ， 我 们 会 发 现 它 很 多 地 方 都 在 动 态 加 载 d e x 文 件 或 通 过 反 射 技 术 调 用 a p k 文 件 ， 这 些 代 码 文 件 都 具 有 某 一 项 单 独 的 功 能 ， 我 们 使 用 R O O T 权 限 的 R O M ， 从 它 本 地 文 件 f i l e s 目 录 中 可 以 看 到 ， f i l e s 目 录 文 件 如 图 2 - 4 所 示 ： 图 2 - 4   f i l e s 目 录 文 件 2 . 2 　 猕 猴 之 偷 金 窃 银 　 猕 猴 之 偷 金 窃 银 作 为 技 术 人 员 ， 在 6 . 0 之 前 的 A n d r o i d 系 统 上 运 行 安 卓 应 用 ， 是 不 可 能 给 你 无 关 使 用 的 权 限 的 ， 所 以 第 一 次 试 玩 还 是 比 较 友 好 的 操 作 ， 但 是 如 果 用 户 在 安 装 了 此 病 毒 应 用 之 后 ， 授 权 了 短 信 操 作 的 一 系 列 权 限 之 后 ， 那 就 别 想 好 好 的 玩 游 戏 了 ， 因 为 你 会 不 断 的 被 发 送 信 息 的 提 示 和 短 信 授 权 提 醒 所 烦 扰 。 订 购 短 信 会 一 直 持 续 的 发 送 ， 直 到 你 把 此 软 件 卸 载 ， 如 果 你 的 手 机 未 修 改 短 信 发 送 的 服 务 中 心 号 码 ， 最 好 不 要 轻 易 的 尝 试 ， 发 到 你 “ 倾 家 荡 产 ” 。 这 种 恶 意 扣 费 行 为 ， 如 图 六 耳 猕 猴 使 出 “ 偷 金 窃 银 ” 的 手 段 ， 让 你 防 不 胜 防 。 下 面 我 们 对 其 源 码 进 行 分 析 ， 直 接 切 入 其 短 信 发 送 的 地 方 ， 发 现 发 送 短 信 的 位 置 有 很 多 ， 这 里 寻 找 一 个 发 送 短 信 ， 并 注 册 短 信 监 听 的 地 方 作 为 示 例 。 在 深 入 研 究 中 ， 发 现 在 本 地 文 件 f i l e s 中 一 个 k 9 l s . d e x 的 d e x 文 件 也 为 注 册 监 听 ， 操 作 短 信 的 动 态 加 载 文 件 ， 操 作 短 信 的 代 码 都 一 样 ， 这 里 不 再 做 阐 述 ， 发 送 短 信 的 源 码 如 图 2 - 5 所 示 ：
图 2 - 5   发 送 短 信 代 码 根 据 手 机 发 送 的 订 购 短 信 ， 数 量 和 种 类 如 此 之 多 ， 数 据 可 能 是 从 网 络 动 态 获 取 或 者 本 地 加 密 文 件 中 存 储 ， 上 面 我 们 知 道 它 的 加 密 文 件 是 很 多 的 ， 经 过 深 入 分 析 ， 我 们 追 踪 到 其 是 用 S Q L i t e D a t a b a s e 进 行 了 存 储 ， 但 是 对 数 据 库 的 操 作 地 方 均 使 用 了 代 码 混 淆 技 术 ， 操 作 S Q L i t e D a t a b a s e 的 混 淆 代 码 如 图 2 - 6 所 示 ： 图 2 - 6   短 信 相 关 数 据 库 操 作 混 淆 代 码 经 过 对 混 淆 代 码 的 处 理 ， 最 终 我 们 在 应 用 本 地 文 件 中 找 到 了 短 信 信 息 相 关 的 两 个 数 据 库 ， 分 别 是 0 7 6 3 1 1 8 1 5 9 7 0 0 6 4 文 件 和 m s g _ c o m . y f . y . f . i n i t . p l u g i n . d a o . D B O p e n H e l p e r . d b 数 据 库 文 件 ， 两 个 数 据 库 中 相 关 表 的 内 容 如 图 2 - 7 和 图 2 - 8 所 示 ：
图 2 - 7   0 7 6 3 1 1 8 1 5 9 7 0 0 6 4 数 据 库 相 关 表 数 据 图 2 - 8   D B O p e n H e l p e r 数 据 库 相 关 表 数 据 最 后 ， 通 过 对 本 地 本 地 文 件 和 数 据 库 的 分 析 ， 我 们 知 道 它 是 通 过 网 络 获 取 短 信 p o r t 和 c m d ， 存 储 到 本 地 数 据 库 进 行 使 用 和 记 录 。 确 定 是 网 络 动 态 获 取 之 后 ， 我 们 抓 取 协 议 包 进 行 分 析 ， 最 终 在 地 址 h t t p : / / p . * * . c c / i n d e x . p h p / M C / R P 中 获 取 短 信 内 容 的 信 息 列 表 ， 共 有 2 2 条 业 务 短 信 内 容 。 经 常 分 析 此 类 病 毒 的 安 全 人 员 都 知 道 ， 此 病 毒 是 使 用 了 此 域 名 所 有 者 公 司 的 电 信 业 务 ， 在 此 不 再 对 齐 进 行 溯 源 分 析 。 短 信 内 容 获 取 的 协 议 包 ， 如 图 2 - 9 所 示 ： 图 2 - 9   业 务 短 信 内 容 获 取 协 议 包
2 . 3 　 猕 猴 之 　 猕 猴 之 “ 火 眼 金 睛 火 眼 金 睛 ” 西 游 记 中 孙 悟 空 的 “ 火 眼 金 睛 ”   是 用 来 识 别 妖 魔 鬼 怪 的 ， 而 这 里 说 的 “ 火 眼 金 睛 ” 是 用 来 窥 探 用 户 隐 私 的 ， 此 病 毒 在 其 运 行 期 间 ， 注 册 多 个 监 听 ， 监 听 和 操 作 用 户 的 短 信 ， 获 取 用 户 运 行 的 t a s k ， 并 获 取 用 户 电 话 号 码 和 设 备 信 息 。 A n d r o i d 中 获 取 这 些 信 息 都 有 其 流 程 和 相 应 A P I ， 这 里 不 过 多 说 明 ， 只 是 把 相 应 代 码 作 为 示 例 列 举 。 监 听 短 信 、 获 取 电 话 号 码 和 获 取 s i m 卡 信 息 （ 其 他 设 备 信 息 不 再 列 举 ） 分 别 如 图 2 - 1 0 、 图 2 - 1 1 和 图 2 - 1 2 所 示 ： 图 2 - 1 0   监 听 用 户 短 信 接 收 图 2 - 1 1   获 取 用 户 电 话 号 码 图 2 - 1 2   获 取 用 户 s i m 卡 信 息 2 . 4 　 猕 猴 之 召 唤 妖 孽 　 猕 猴 之 召 唤 妖 孽 此 病 毒 安 装 之 后 会 在 手 机 上 ， 匿 名 频 繁 弹 出 悬 浮 窗 ， 推 广 多 个 病 毒 软 件 和 部 分 正 常 应 用 ， 当 用 户 不 小 心 触 摸 到 悬 浮 窗 时 ， 直 接 进 行 推 广 应 用 下 载 。 其 推 广 的 软 件 经 过 研 判 ， 多 数 为 病 毒 应 用 ， 如 同 更 多 的 “ 妖 孽 ” 一 般 。 匿 名 悬 浮 窗 轮 播 图 运 行 界 面 如 图 2 - 1 3 所 示 ：
图 2 - 1 3   匿 名 弹 窗 推 广 软 件 我 们 对 其 悬 浮 窗 推 广 的 应 用 列 表 信 息 进 行 追 踪 ， 发 现 源 码 中 并 不 能 方 便 的 获 取 到 ， 因 为 其 加 密 文 件 的 数 量 和 代 码 混 淆 以 及 数 据 加 密 做 的 防 护 措 施 ， 想 要 获 取 其 推 广 列 表 并 不 是 一 件 轻 松 的 工 作 。 关 于 是 本 地 解 密 或 联 网 加 密 文 件 获 取 还 是 联 网 直 接 数 据 获 取 ， 我 们 从 最 简 单 的 联 网 直 接 获 取 进 行 入 手 ， 还 好 我 们 有 强 大 的 协 议 包 获 取 分 析 工 具 ， 利 用 C h a r l e s 发 现 其 使 用 H T T P S 协 议 进 行 动 态 的 获 取 推 广 列 表 ， 获 得 的 推 广 数 据 及 其 服 务 器 地 址 h t t p s : / / q . * . t o p / z u t l k W r C r ， 如 图 2 - 1 4 所 示 ： 图 2 - 1 4   推 广 软 件 获 取 协 议 包 从 上 面 我 们 可 以 看 到 它 的 推 广 软 件 下 载 服 务 器 和 备 用 服 务 器 地 址 分 别 为 h t t p : / / c d n . . * . t o p / u p l o a d / 和 h t t p : / / c d n . . * . t o p / u p l o a d 。 为 了 大 家 直 观 的 感 受 它 的 推 广 状 态 ， 如 广 告 的 i d 和 t y p e 等 ， 我 们 找 到 它 本 地 存 储 的 数 据 库 q g g . d b 进 行 数 据 展 示 ， 如 图 2 - 1 5 所 示 ：
图 2 - 1 5   推 广 软 件 本 地 数 据 库 数 据 展 示 3 　 猕 猴 身 世 之 谜 　 猕 猴 身 世 之 谜 躲 避 安 全 软 件 病 毒 检 测 ， 做 到 动 态 加 载 d e x , 代 码 混 淆 和 数 据 加 密 等 多 重 技 术 为 了 推 广 应 用 和 业 务 订 购 谋 取 暴 利 的 到 底 是 何 方 神 圣 呢 ？ 就 像 那 个 永 远 讨 论 的 话 题 “ 六 耳 猕 猴 的 身 世 之 谜 ” 。 我 们 通 过 研 究 得 到 的 三 个 服 务 器 地 址 ， 分 别 是 h t t p s : / / q * * * . m * * * * * . t o p / z u t l k W r C r 、 h t t p : / / c d n . a * * . w * * * * * . t o p / u p l o a d / 和 h t t p : / / c d n . . f * . t o p / u p l o a d ， 对 其 域 名 进 行 溯 源 追 踪 ， 能 够 获 得 相 应 的 一 些 信 息 ， 如 联 系 电 话 和 邮 箱 ， 但 是 是 否 是 创 造 者 或 者 传 播 者 都 需 要 更 多 的 证 据 支 持 。 对 域 名 的 w h o i s 反 查 的 结 果 如 图 3 - 1 、 图 3 - 2 和 图 3 - 3 所 示 ： 图 3 - 1   m * . t o p 域 名 反 查 结 果
图 3 - 2   w * * . t o p 域 名 反 查 结 果 图 3 - 3   f * * . t o p 域 名 反 查 结 果 4 　 如 来 护 体 金 光 　 如 来 护 体 金 光 盗 版 病 毒 应 用 ， 不 仅 侵 害 了 开 发 商 的 利 益 ， 也 给 我 们 用 户 带 来 重 大 影 响 ， 针 对 这 个 问 题 我 们 相 应 的 也 从 开 发 商 和 用 户 两 个 方 面 给 出 安 全 防 护 建 议 。 开 发 商 在 开 发 应 用 时 可 以 从 以 下 几 个 方 面 做 出 安 全 防 护 ： Ø   对 应 用 进 行 安 全 加 固 ， 采 用 现 在 主 流 的 安 全 加 固 厂 商 的 企 业 加 固 方 案 。 Ø   对 应 用 进 行 严 格 的 签 名 保 护 ， 采 用 应 用 重 打 包 防 护 检 测 。 Ø   对 源 码 采 用 高 级 混 淆 机 制 ， 禁 止 别 人 二 次 使 用 。 Ø   对 应 用 数 据 和 协 议 包 数 据 进 行 加 密 。 Ø   增 加 维 权 意 识 ， 坚 决 维 护 自 身 利 益 。 用 户 在 使 用 应 用 时 ， 可 以 从 以 下 几 个 方 面 避 免 此 类 应 用 ：
Ø   建 议 用 户 提 高 警 觉 性 ， 使 用 软 件 请 到 官 网 下 载 。 到 应 用 商 店 进 行 下 载 正 版 软 件 ， 避 免 从 论 坛 等 下 载 软 件 ， 可 以 有 效 的 减 少 该 类 病 毒 的 侵 害 。 Ø   关 注 ” 暗 影 安 全 实 验 室 ” 公 众 号 ， 获 取 最 新 实 时 移 动 安 全 状 态 ， 避 免 给 您 造 成 损 失 和 危 害 。 Ø   安 全 需 要 做 到 防 患 于 未 然 ， 可 以 使 用 恒 安 嘉 新 公 司 的 A P P 威 胁 检 测 与 态 势 分 析 平 台 进 行 分 析 对 A n d r o i d 样 本 提 取 信 息 并 进 行 关 联 分 析 和 检 测 。 Ø   用 户 发 现 感 染 手 机 病 毒 软 件 之 后 ， 可 以 向 “ 1 2 3 2 1 网 络 不 良 与 垃 圾 信 息 举 报 受 理 中 心 ” 或 “ 中 国 反 网 络 病 毒 联 盟 ” 进 行 举 报 ， 使 病 毒 软 件 能 够 第 一 时 间 被 查 杀 和 拦 截 。 * 本 文 作 者 ： 暗 影 安 全 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 暗 影 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理