搜索

[28389] 2020-07-05_HiddenAds恶意软件分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2020-07-05_HiddenAds恶意软件分析 H i d d e n A d s 恶 意 软 件 分 析 陈 泽 鹏   O t s 安 全   2 0 2 0 - 0 7 - 0 5 数 以 千 计 的 数 以 千 计 的 H i d d e n A d s   T r o j a n 应 用 程 序 伪 装 成 应 用 程 序 伪 装 成 G o o g l e   P l a y 应 用 程 序 应 用 程 序 M c A f e e 移 动 研 究 团 队 最 近 发 现 了 H i d d e n A d s   T r o j a n 的 新 变 种 。 H i d d e n A d s   T r o j a n 是 一 个 广 告 软 件 应 用 程 序 ， 用 于 显 示 广 告 和 收 集 用 户 数 据 以 进 行 营 销 。 此 类 应 用 程 序 的 目 标 是 通 过 将 用 户 重 定 向 到 广 告 来 产 生 收 入 。 广 告 软 件 通 常 有 两 种 赚 钱 的 方 法 ： 在 用 户 计 算 机 上 展 示 广 告 以 及 用 户 点 击 广 告 后 的 每 次 点 击 付 款 。 尽 管 它 可 以 用 于 在 联 盟 营 销 程 序 中 传 播 和 显 示 广 告 ， 但 广 告 软 件 也 可 以 用 于 在 联 盟 欺 诈 程 序 中 传 播 恶 意 软 件 。 大 多 数 广 告 软 件 程 序 都 会 滥 用 合 法 应 用 程 序 来 欺 骗 用 户 并 增 加 安 装 数 量 。 在 我 们 的 分 析 中 ， 我 们 重 点 研 究 两 个 流 行 的 A n d r o i d 应 用 程 序 的 虚 假 版 本 ： F a c e A p p ： 用 于 通 过 机 器 学 习 修 改 照 片 的 应 用 程 序 。 C a l l   o f   D u t y ： 一 款 适 用 于 A n d r o i d 的 著 名 游 戏 。 我 们 注 意 到 这 些 应 用 程 序 非 常 受 欢 迎 ， 通 常 由 年 轻 人 下 载 。 此 外 ， 两 个 应 用 程 序 都 使 用 应 用 程 序 内 购 买 业 务 模 型 。 这 两 个 元 素 很 有 趣 ， 因 为 它 们 增 加 了 人 们 搜 索 免 费 版 本 的 机 会 ， 并 且 对 安 全 性 的 关 注 程 度 较 低 。 我 们 还 注 意 到 ， 其 他 一 些 H i d d e n A d s 变 种 都 伪 装 成 真 正 的 应 用 程 序 ， 例 如 S p o t i f y 或 其 他 知 名 游 戏 。 在 全 球 范 围 内 ， 我 们 观 察 到 了 3 0 , 0 0 0 多 个 与 此 H i d d e n A d s 广 告 活 动 相 关 的 样 本 。 图 1 . 多 重 技 巧 H i d d e n A d s 广 告 活 动 分 析 的 样 本 在 G o o g l e   P l a y 商 店 中 不 可 用 ； 最 新 版 本 的 交 付 主 要 来 自 互 联 网 上 不 可 靠 的 部 分 ， 这 些 部 分 建 议 下 载 A P K 文 件 。 Y o u T u b e 频 道 中 也 发 现 了 恶 意 链 接 ， 用 于 下 载 假 冒 应 用 程 序 。 这 些 H i d d e n A d s 变 体 使 用 其 他 一 些 有 趣 的 技 术 来 欺 骗 用 户 并 阻 止 对 恶 意 软 件 研 究 人 员 的 分 析 。 在 本 博 文 中 ， 我 们 将 深 入 分 析
假 的 F a c e A p p 应 用 程 序 。 分 销 渠 道 分 销 渠 道 这 些 恶 意 软 件 样 本 伪 装 成 流 行 的 应 用 程 序 ， 因 此 ， 当 用 户 想 要 从 未 知 来 源 查 找 应 用 程 序 时 ， 它 们 可 能 会 被 恶 意 软 件 感 染 。 例 如 ， “ 使 命 召 唤 ” 是 一 种 流 行 的 游 戏 ， 许 多 人 在 线 搜 索 移 动 版 本 。 如 果 很 不 幸 ， 他 们 可 能 会 发 现 以 下 结 果 ： 图 2 . 分 销 渠 道 在 视 频 中 ， 作 者 提 供 了 下 载 链 接 。 如 果 单 击 链 接 下 载 文 件 ， 则 会 收 到 “   C a l l   o f   D u t y _ 1 . 0 . 4 . a p k ” （ 如 表 1 所 示 ） 。 如 果 我 们 在 设 备 上 安 装 此 示 例 ， 我 们 将 被 该 恶 意 软 件 感 染 。 此 外 ， 我 们 在 其 他 不 受 信 任 的 来 源 上 发 现 了 该 恶 意 软 件 。 特 技 技 巧 特 技 技 巧 1 .   应 用 程 序 名 称 技 巧 。 应 用 程 序 名 称 技 巧 。 作 为 用 户 ， 我 们 通 过 应 用 程 序 的 名 称 和 图 标 来 识 别 它 。 作 为 研 究 人 员 ， 软 件 包 名 称 是 应 用 程 序 的 标 识 。 此 变 体 使 用 G o o g l e P l a y 商 店 上 流 行 的 应 用 程 序 名 称 ， 图 标 和 程 序 包 名 称 ， 诱 使 用 户 认 为 它 们 是 正 版 应 用 程 序 。 表 1 ： 一 些 威 胁 样 本 的 基 本 信 息 。 我 们 在 G o o g l e   P l a y 上 搜 索 应 用 程 序 名 称 ， 然 后 单 击 搜 索 结 果 以 查 看 其 详 细 信 息 。 图 3 .   G o o g l e   P l a y 上 的 F a c e A p p 信 息 。
这 是 一 个 非 常 受 欢 迎 的 应 用 程 序 内 购 买 应 用 程 序 。 如 果 受 害 者 想 从 其 他 来 源 找 到 免 费 的 破 解 版 本 ， 他 们 可 能 会 得 到 我 们 的 分 析 样 本 。 G o o g l e   P l a y 应 用 程 序 和 假 冒 应 用 程 序 的 应 用 程 序 名 称 ， 图 标 和 版 本 号 非 常 相 似 。 但 是 ， 文 件 大 小 有 很 大 不 同 ， 因 此 我 们 应 该 牢 记 这 一 点 。 2 . 图 标 把 戏 图 标 把 戏 通 常 ， 用 户 希 望 安 装 前 后 看 到 的 图 标 相 同 。 在 此 示 例 中 ， 它 们 是 不 同 的 。 该 示 例 在 A n d r o i d M a n i f e s t . x m l 文 件 中 定 义 了 两 个 图 标 。 活 动 的 标 签 是 “ 设 置 ” 。 图 4 . 1   A n d r o i d M a n i f e s t . x m l 中 定 义 了 两 个 图 标 在 安 装 示 例 之 前 ， 我 们 将 在 文 件 资 源 管 理 器 中 看 到 该 示 例 ， 并 显 示 第 一 个 图 标 （ t v _ i c o n . p n g ） 。 在 系 统 安 装 视 图 中 ， 我 们 也 看 到 第 一 个 图 标 。 单 击 “ 完 成 ” 按 钮 后 ， 该 示 例 将 安 装 到 设 备 上 ， 并 且 系 统 显 示 第 二 个 图 标 （ b u t _ i n v e r t c . p n g ） 。                 图 4 . 2   安 装 之 前 / 期 间 / 之 后 的 图 标 这 是 图 标 技 巧 。 用 户 在 安 装 示 例 后 会 感 到 惊 讶 ， 因 为 他 们 无 法 在 设 备 上 找 到 所 需 的 图 标 。 他 们 可 能 认 为 安 装 过 程 中 出 现 了 问 题 ， 并 且 应 用 程 序 无 法 安 装 。 实 际 上 ， 该 应 用 程 序 已 经 安 装 ； 它 在 系 统 “ 设 置 ” 应 用 程 序 图 标 旁 边 。 当 用 户 启 动 系 统 “ 设 置 ” 应 用 程 序 时 ， 他 们 可 以 单 击 伪 造 的 图 标 来 启 动 恶 意 应 用 程 序 。 3 . 启 动 器 技 巧 启 动 器 技 巧 一 旦 受 害 者 单 击 伪 造 的 “ 设 置 ” 图 标 ， 恶 意 应 用 就 会 启 动 ， 而 欺 骗 的 下 一 个 阶 段 也 将 启 动 。
图 5 . 单 击 “ 确 定 ” 按 钮 后 的 隐 藏 图 标 该 示 例 立 即 显 示 此 警 报 对 话 框 。 它 不 执 行 国 家 / 地 区 可 用 的 检 查 。 这 是 一 种 欺 骗 性 消 息 ， 旨 在 使 受 害 者 认 为 该 图 标 是 隐 藏 的 ， 因 为 “ 您 所 在 的 国 家 / 地 区 不 提 供 该 应 用 程 序 ” 。 实 际 上 ， 该 应 用 程 序 仍 在 后 台 运 行 。 它 在 特 定 国 家 / 地 区 不 可 用 ， 而 对 受 害 者 而 言 则 不 可 用 。 混 淆 技 术 混 淆 技 术 以 上 是 该 应 用 程 序 欺 诈 受 害 者 的 方 式 。 现 在 ， 我 们 看 一 下 该 样 本 的 抗 分 析 技 术 。 在 应 用 程 序 启 动 时 ， 它 将 调 用 功 能 M u l t i D e x . i n s t a l l 。 M u l t i D e x 是 一 个 流 行 且 有 效 的 A n d r o i d 模 块 ， 用 于 支 持 多 个 D E X 文 件 。 当 我 们 研 究 此 功 能 时 ， 我 们 很 好 奇 为 什 么 流 行 的 A n d r o i d 模 块 会 在 特 定 的 应 用 程 序 模 块 中 调 用 该 功 能 。 图 6 . “   M u l t i D e x . i n s t a l l ” 功 能 中 的 恶 意 代 码 这 个 问 题 促 使 我 们 做 更 多 的 分 析 。 最 后 ， 我 们 发 现 这 是 恶 意 代 码 入 口 。 它 主 要 在 这 里 做 两 件 事 ： 如 此 解 密 库                 解 密 后 的 函 数 非 常 模 糊 ， 不 仅 使 变 量 名 变 得 毫 无 意 义 ， 而 且 将 一 个 简 单 的 函 数 拆 分 为 许 多 子 函 数 ， 每 个 子 函 数 都 插 入 了 许 多 废 话 代 码 ， 这 些 代 码 旨 在 阻 止 分 析 。 幸 运 的 是 ， 我 们 可 以 理 解 代 码 并 获 得 解 密 过 程 。
图 7 . 1     分 成 许 多 子 功 能 图 7 . 2     一 个 子 功 能 ， 很 多 代 码 都 是 废 话 根 据 C P U 类 型 从 r e s o u r c e   /   s t r i n g . x m l 文 件 读 取 数 据 （ 图 8 . 2 ） ： 如 果 C P U 是 a r m 6 4 ， 则 读 取 x 1 值 。 如 果 C P U 是 a r m e a b i ， 则 读 取 x 0 值 。 不 支 持 其 他 C P U 。 图 8 . 1   从 资 源 s t r i n g . x m l 文 件 中 读 取 数 据
数 据 有 2 部 分 ， 第 一 部 分 是 E L F 文 件 的 标 题 ， 第 二 部 分 是 数 组 的 索 引 。 在 最 后 一 步 的 索 引 （ “   a 5 8 a x ” ） 中 ， 我 们 从 a r r a y s . x m l 文 件 中 找 到 b a s e 6 4 编 码 数 据 。 使 用 b a s e 6 4 和 X O R 操 作 解 码 数 组 并 生 成 本 机 代 码 库 。 图 8 . 2     文 件 资 源 中 的 B a s e 6 4 编 码 数 据 . a r s c   /   r e s   /   v a l u e s   /   a r r a y s . x m l   3 ） 加 载 s o 库 以 提 取 D E X 有 效 负 载 ， 最 后 ， 恶 意 代 码 调 用 s y s t e m . l o a d 加 载 s o 库 并 调 用 本 机 函 数 。 图 9 . 加 载 s o 库 并 调 用 本 机 函 数 在 本 机 功 能 中 ， 它 将 提 取 并 解 密 文 件 a s s e t   /   g e o c a l c _ l i t e . d a t 并 将 D E X 有 效 负 载 恢 复 到 路 径 / d a t a / d a t a / d e . f a s t n c . a n d r o i d . g e o c a l c _ l i t e / a p p _ a p p _ a p k / g e o c a l c _ l i t e . d a t . j a r 。 D E X 有 效 负 载 分 析 有 效 负 载 分 析 D E X 有 效 负 载 用 于 显 示 广 告 。 广 告 数 据 来 自 服 务 器 。 有 效 负 载 获 取 数 据 后 ， 它 将 在 设 备 上 显 示 。 通 过 代 码 分 析 ， 我 们 看 到 有 很 多 广 告 类 型 （ 图 1 2 . 2 ） 。 有 效 载 荷 非 常 复 杂 ， 将 针 对 每 种 类 型 以 不 同 的 方 式 加 载 和 显 示 数 据 。 默 认 设 置 参 数 D E X 有 效 负 载 在 代 码 中 定 义 了 b a s e 6 4 编 码 字 符 串 。 解 码 后 会 得 到 很 多 默 认 设 置 参 数 ：
图 1 0 . 1     默 认 设 置 参 数 （ 编 码 ） 图 1 0 . 2   默 认 设 置 参 数 （ 解 码 ） 这 是 一 个 j s o n 对 象 ； 它 非 常 复 杂 ， 下 面 是 一 些 参 数 的 用 法 ： m e t r i c s A p i K e y ： Y a n d e x   M e t r i c a   S D K 的 A P I 密 钥 。 i n s t a l l F r e q u e n c y S e c o n d s ： 这 用 于 控 制 “ 安 装 ” 请 求 的 频 率 。 该 值 决 定 了 发 送 “ 安 装 ” 请 求 的 最 小 时 间 间 隔 （ 请 参 阅 “ 请 求 和 响 应 ” 部 分 ） ， 在 这 种 情 况 下 为 1 0 0 0 秒 （ 1 6 分 4 0 秒 ） 。 安 装 请 求 只 能 由 应 用 程 序 启 动 器 触 发 。 无 论 如 何 ， 我 们 多 次 重 启 应 用 程 序 ， 它 仅 在 1 0 0 0 秒 内 发 送 一 个 请 求 。 o v e r a p p S t a r t D e l a y S e c o n d s ： 这 用 于 控 制 h t t p 请 求 的 延 迟 。 它 旨 在 在 首 次 启 动 后 3 0 0 0 0 秒 （ 5 小 时 2 0 分 钟 ） 后 执 行 恶 意 有 效 负 载 。 但 是 在 当 前 版 本 中 ， 此 值 与 “   i n s t a l l F r e q u e n c y S e c o n d s ” 相 同 ， 用 于 控 制 安 装 频 率 。 “   o v e r a p p S t a r t D e l a y S e c o n d s ” 和 “ i n s t a l l F r e q u e n c y S e c o n d s ” 中 较 小 的 值 用 作 发 送 安 装 请 求 的 最 小 时 间 间 隔 。 b u n d l e s   _   * （ b ， c ， l ， n ） ： 看 起 来 这 些 用 于 确 定 是 否 在 这 些 包 装 中 显 示 广 告 。 参 数 “ 域 ” 是 重 要 的 参 数 ； 它 定 义 了 远 程 服 务 器 候 选 列 表 。 有 效 负 载 会 随 机 选 择 一 个 作 为 远 程 服 务 器 ； 如 果 所 选 的 一 个 不 可 用 ， 它 将 切 换 到 下 一 个 。 要 求 与 回 应 要 求 与 回 应 有 效 负 载 中 有 3 种 类 型 的 请 求 ， 不 同 的 请 求 具 有 不 同 的 触 发 条 件 。 我 们 只 能 捕 获 两 种 类 型 的 请 求 ：
图 1 1 . 1 。 请 求 和 响 应 捕 获 1 . “ 安 装 安 装 ” 请 求 请 求 在 应 用 程 序 启 动 期 间 ， 如 果 满 足 触 发 条 件 ， 则 有 效 负 载 将 向 远 程 服 务 器 发 送 “ 安 装 ” 请 求 。 该 请 求 有 一 个 名 为 “   t y p e ” 的 文 件 ， 其 值 为 “   i n s t a l l ” 。 图 1 1 . 2     安 装 要 求 客 户 端 提 交 的 也 是 j s o n 对 象 ； 它 包 含 v e r s i o n N a m e 和 s d k E d i t i o n 信 息 ， 这 两 个 信 息 都 表 明 此 有 效 负 载 是 非 常 新 的 。
图 1 1 . 3   V e r s i o n N a m e 和 s d k E d i t i o n 定 义 来 自 远 程 服 务 器 的 响 应 通 常 是 一 个 空 j s o n ， 这 增 加 了 我 们 分 析 的 难 度 。 我 们 继 续 测 试 了 几 天 ， 并 获 得 了 一 个 非 空 的 响 应 。 图 1 1 . 4     响 应 数 据 远 程 服 务 器 设 置 涵 盖 默 认 设 置 ： 启 用 ： 广 告 启 用 标 记 ， 包 括 “   b   /   r e q u e s t ” 请 求 下 方 。 默 认 值 为 F a l s e ， 并 且 从 远 程 服 务 器 响 应 中 设 置 为 T r u e 。 响 应 中 的 7 个 新 域 ： “   h t t p : / / h u r g a d o n t . c o m ” ， “   h t t p : / / a s f i n t o m . c o m ” ， “   h t t p : / / e k l a m p a . c o m ” ， “   h t t p : / / g l a n m o r a n . c o m ” ， “   h t t p ： / / c a n t o m u s . c o m ” 、 “ h t t p : / / f u m i r o l . c o m ” 和 “   h t t p : / / b a r t i n g o r . c o m ” 7 个 默 认 域 ： “   h t t p : / / m i n a s o r p . c o m ” ， “   h t t p : / / o m a t i s t . c o m ” ， “   h t t p : / / r e t i n b a . c o m ” ， “   h t t p : / / b a r a d o n t . c o m ” ， “   h t t p ： / /   l i n d o s t a n   . c o m ” ， “ h t t p : / / a v g o n . n e t ” 和 “   h t t p : / / d o r o n t a l k a . c o m ” 有 7 台 新 服 务 器 和 7 台 默 认 服 务 器 ， 总 共 1 4 台 服 务 器 ， 我 们 可 以 p i n g 通 它 们 。 他 们 还 活 着 。 2 . “   b   /   r e q u e s t ” 请 求 这 是 一 个 核 心 要 求 。 该 请 求 中 有 一 个 名 为 “   t y p e ” 的 字 段 ， 其 值 为 “   b   /   r e q u e s t ” 。
图 1 2 . 1   b   / 请 求 请 求 该 库 注 册 了 许 多 事 件 过 滤 器 / 观 察 器 ， 并 且 当 这 些 事 件 发 生 时 ， 满 足 了 触 发 条 件 ， 导 致 该 库 向 远 程 服 务 器 发 送 了 适 当 的 请 求 。 表 2 ： 事 件 监 视 标 语 类 型 用 于 标 识 标 语 ， 竞 价 用 于 标 识 事 件 的 标 点 。 图 1 2 . 2     横 幅 类 型 和 现 货 类 型   响 应 数 据 如 下 。 它 具 有 3 个 主 要 功 能 ： “   s d k U p d a t e ” 数 据 ： 用 于 加 载 S D K 文 件 的 更 新 版 本 。 “ 横 幅 ” 数 据 ： 用 于 显 示 横 幅 广 告 。 “   m e d i a t o r S D K ” 数 据 ： 用 于 在 受 害 者 的 设 备 上 发 布 m e d i a t o r S D K 的 请 求 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理