搜索

[28431] 2020-07-23_AndroidRootnik恶意软件：深入研究第二部分

文档创建者：s7ckTeam
浏览次数：65
最后更新：2025-01-19
2020-07-23_AndroidRootnik恶意软件：深入研究第二部分 A n d r o i d   R o o t n i k 恶 意 软 件 ： 深 入 研 究   第 二 部 分 F o r t i G u a r d   O t s 安 全   2 0 2 0 - 0 7 - 2 3 在 第 一 部 分 中 ， 我 完 成 了 对 新 发 现 的 R o o t n i k 恶 意 软 件 变 体 的 本 机 层 的 分 析 ， 并 获 得 了 解 密 后 的 真 实 D E X 文 件 。 在 第 二 部 分 中 ， 我 们 将 继 续 进 行 分 析 。 看 解 密 的 真 实 D E X 文 件 解 密 的 D E X 文 件 的 条 目 是 d e m o . o u t e r a p p s h e l l . O u t e r S h e l l A p p 类 。 类 O u t e r S h e l l A p p 的 定 义 如 下 所 示 。 图 1 . 类 d e m o . o u t e r a p p s h e l l . O u t e r S h e l l A p p 我 们 将 首 先 分 析 函 数 a t t a c h B a s e C o n t e x t （ ） 。 以 下 是 L i n k I n n e r S h e l l 类 中 的 函 数 a B C （ ） 。 图 2 . 类 L i n k I n n e r S h e l l 中 的 函 数 a B C （ ） 该 程 序 使 用 D e x C l a s s L o a d e r 动 态 加 载 D E X 文 件 并 在 d e m o . i n n e r a p p s h e l l . L o a d T a r g e t A p p 类 中 执 行 l o a d （ ） 函 数 。 函 数
m o v e S o u r c e A p k （ ） 用 于 解 密 文 件 夹 资 产 中 的 文 件 h e l l o . a p k ， 然 后 将 解 密 后 的 数 据 写 入 文 件 夹 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s / 中 的 h e l l o . a p k 中 。 图 3 . 函 数 m o v e S o u r c e A p k 接 下 来 ， 我 们 分 析 了 o n C r e a t e （ ） 函 数 。 1 . b a （ （ （ （ C o n t e x t ） t h i s ） ） ） ： 启 动 服 务 c o m . d h y . k q i b . c c 图 4 . 函 数 b a （ （ C o n t e x t ） t h i s ） 2 . t h i s . m L i n k I n n e r S h e l l . o C （ ） ： 在 类 d e m o . i n n e r a p p s h e l l . L o a d T a r g e t A p p 中 调 用 函 数 i n i t C r e a t e 。
图 5 . 函 数 o C （ ） h e l l o . a p k 分 析 分 析 以 下 是 解 密 的 h e l l o . a p k 的 反 编 译 结 构 。 图 6 . 解 密 的 h e l l o . a p k 的 反 编 译 结 构 我 们 将 继 续 在 类 d e m o . i n n e r a p p s h e l l . L o a d T a r g e t A p p 中 分 析 函 数 l o a d 和 i n i t C r e a t e 。 在 函 数 l o a d （ ） 中 ， 它 解 密 文 件 夹 资 产 中 的 文 件 s o u r c e . a p k 并 将 解 密 的 数 据 写 入 文 件 夹 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s / 中 的 s o u r c e . a p k 中 ， 然 后 替 换 系 统 D e x C l a s s L o a d e r 。 以 下 是 函 数 i n i t C r e a t e 。 图 7 . 函 数 i n i t C r e a t e 函 数 r e p l a c e S y s t e m A p p l i c a t i o n （ ） 用 于 在 c o m . d e m o . M y A p p l i c a t i o n 类 中 执 行 o n C r e a t e （ ） 函 数 。 该 类 应 位 于 s o u r c e . a p k 中 。
图 8 . 函 数 r e p l a c e S y s t e m A p p l i c a t i o n S o u r c e . a p k 分 析 分 析 接 下 来 让 我 们 看 一 下 解 密 的 s o u r c e . a p k 。 以 下 是 解 密 的 s o u r c e . a p k 的 反 编 译 结 构 。
图 9 . 解 密 后 的 s o u r c e . a p k 的 反 编 译 结 构 。 现 在 ， 我 们 可 以 看 到 原 始 法 律 应 用 程 序 的 实 现 位 于 s o u r c e . a p k 的 反 编 译 结 构 中 。 显 然 ， 恶 意 软 件 开 发 人 员 将 恶 意 代 码 添 加 到 了 原 始 法 律 应 用 中 ， 并 对 其 进 行 了 重 新 打 包 。 接 下 来 ， 我 们 将 研 究 c o m . d e m o . M y A p p l i c a t i o n 类 中 的 o n C r e a t e （ ） 函 数 。 图 1 0 .   c o m . d e m o . M y A p p l i c a t i o n 类 中 的 o n C r e a t e （ ） 函 数
最 后 ， 它 通 过 跟 踪 调 用 以 下 函 数 。 图 1 1 . 函 数 开 始 此 函 数 首 先 检 查 文 件 夹 文 件 中 是 否 存 在 文 件 l i b h j d S s D M x u U Q a C V M D b o o t s t r a p . s o 。 如 果 没 有 ， 则 程 序 可 以 将 文 件 夹 资 产 / a w s r a b f   / 中 的 所 有 文 件 复 制 到 文 件 夹 文 件 /   a w s r a b f   / 中 。 文 件 夹 资 产 /   a w s r a b f   / 中 的 文 件 列 表 如 下 所 示 。 图 1 2 . 文 件 夹 a s s e t s   /   a w s r a b f   / 中 的 文 件 列 表 接 下 来 ， 它 读 取 文 件 / d a t a / a p p - l i b / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n - 1 / l i b h j d S s D M x u U Q a C V M D b o o t s t r a p . s o 并 将 其 解 密 ， 并 将 解 密 后 的 数 据 写 入 文 件 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d   . w i f i _ c o n f i g u r a t i o n   /   f i l e s   /   l i b h j d S s D M x u U Q a C V M D b o o t s t r a p . s o 。 最 后 ， 它 将 . s o 库 l i b h j d S s D M x u U Q a C V M D b o o t s t r a p . s o 加 载 到 文 件 夹 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s / 中 。 加 载 . s o 文 件 时 ， 可 以 调 用 J N I _ O n l o a d 函 数 。 接 下 来 ， 我 们 继 续 分 析 l i b h j d S s D M x u U Q a C V M D b o o t s t r a p . s o 中 的 函 数 J N I _ O n l o a d 。 在 函 数 J N I _ O n l o a d 中 ， 它 可 以 解 密 文 件 夹 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s / a w s r a b f / 中 的 l i b L D y A R N D i d K i Y c q z x d y n a m i c l o a d e r . s o 的 数 据 ， 并 将 解 密 后 的 数 据 写 入 文 件 / d a t a / d a t a / n e t . g o t s u n   . a n d r o i d . w i f i _ c o n f i g u r a t i o n   /   f i l e s   / L D y A R N D i d K i Y c q z x d y n a m i c l o a d e r . j a r 。 然 后 ， 它 使 用 D e x C l a s s L o a d e r 动 态 加 载 此 . j a r 文 件 。 接 下 来 ， 它 在 c o m . n a t i v e d r o i d . m o d u l e . d y n a m i c l o a d e r . D y n a m i c 类 中 调 用 s t a r t 函 数 。
图 1 3 . 在 类 c o m . n a t i v e d r o i d . m o d u l e . d y n a m i c l o a d e r . D y n a m i c 中 调 用 函 数 s t a r t 以 下 是 在 c o m . n a t i v e d r o i d . m o d u l e . d y n a m i c l o a d e r . D y n a m i c 类 中 启 动 的 函 数 的 定 义 。 图 1 4 . 函 数 从 动 态 类 开 始
图 1 5 . 函 数 在 类 S D K 中 启 动 此 函 数 首 先 解 密 文 件 夹 l i b   /   a r m e a b i 中 的 l i b Q S R D Z T u W g d c f L b E X d a e m o n . s o ， 然 后 将 解 密 后 的 数 据 写 入 文 件 夹 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s / 中 的 文 件 Q S R D Z T u W g d c f L b E X d a e m o n . s o 中 。 它 还 会 解 密 同 一 文 件 夹 中 的 三 个 J A R （ b c V P H H D p a V h s x L G U l a l a . j a r ， q B i k v X z x O R C e g o s E z x c . j a r ， U n i U x q s T C x k M n v n g b t . j a r ） 。 然 后 ， 它 将 三 个 J A R 注 入 到 D E X 路 径 列 表 中 。 最 后 ， 它 调 用 c o m . n a t i v e r o i d . s a . s d k . S D K 类 中 的 s t a r t 函 数 。 通 过 调 查 ， 其 主 要 目 的 是 广 告 的 推 广 和 推 动 。 W i f i C o n f i g u r a t i o n A c t i v i t y 主 要 活 动 分 析 主 要 活 动 分 析 在 A n d r o i d M a n i f e s t . x m l 中 ， 我 们 了 解 到 恶 意 软 件 应 用 程 序 的 主 要 活 动 是 n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n . W i f i C o n f i g u r a t i o n A c t i v i t y 。 接 下 来 ， 我 们 将 检 查 功 能 o n C r e a t e （ ） 。 以 下 是 恶 意 应 用 程 序 的 o n C r e a t e （ ） 与 原 始 应 用 程 序 的 o n C r e a t e （ ） 之 间 的 比 较 。 通 过 比 较 ， 我 们 可 以 看 到 恶 意 应 用 已 添 加 了 一 些 代 码 。
图 1 6 . 函 数 o n C r e a t e （ ） 的 比 较 恶 意 软 件 的 开 发 人 员 重 新 打 包 了 原 始 应 用 程 序 ， 并 添 加 了 一 些 恶 意 代 码 。 让 我 们 检 查 一 下 这 些 新 添 加 的 代 码 。 1 . f a （ ） ： 启 动 服 务 c o m . a n d r o i d . j 1 c o l l e c t i o n . G o o g S e r 。 图 1 7 . 函 数 f a （ ） 接 下 来 ， 我 们 看 一 下 G o o g S e r 服 务 的 作 用 。 图 1 8 . 服 务 G o o g S e r 的 执 行 流 程
以 下 是 c o m . a n d r o i d . j a r 1 a h . a b （ C o n t e x t   a r g 6 ） 函 数 的 定 义 。 图 1 9 . 函 数 c o m . a n d r o i d . j a r 1 a h . a b （ C o n t e x t   a r g 6 ） 以 下 是 一 些 关 键 功 能 的 解 释 。 1 . a c （ a r g 6 ） ： 它 首 先 请 求 U R L   h x x p ： / / g p . m i a o x i a 1 2 3 . c o m / c r / s v / g e t G o F i l e ？ n a m e   =   o n l y V 1 7 0 4 1 4 0 1 A j 1 a r s o 3 2 ， 并 获 取 j s o n 格 式 响 应 。 其 次 ， 它 继 续 请 求 U R L   h x x p ： / / s h . p e n c i l l i . c o m / c r / s d k / d y n V 1 7 0 4 1 7 0 1 D / d e s _ o n l y d y V 1 7 0 4 1 7 0 1 D j 1 s o 3 2 . z i p ， 并 将 响 应 数 据 写 入 文 件 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s   / 2 3 h a m m e r h e a d 3 2 / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n 1 2 h a m m e r h e a d 2 。 然 后 ， 它 解 密 文 件 n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n 1 2 h a m m e r h e a d 2 并 解 压 缩 包 含 文 件 o n l y d y V 1 7 0 4 1 7 0 1 D j 1 s o 3 2 的 解 密 z i p 文 件 。 然 后 将 其 复 制 到 文 件 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s / 1 4 9 7 9 1 2 6 8 9 8 1 3 _ o n l y d y V 1 7 0 4 1 7 0 1 D j 1 s o 3 2 . s o 。 字 符 串 “   1 4 9 7 9 1 2 6 8 9 8 1 3 ” 是 时 间 戳 。 2 、 k a （ a r g 6 ， k a （ f . c l a s s ） ） ： f . c l a s s 具 有 3 个 本 机 方 法 ： k a （ f . c l a s s ） 获 取 包 含 三 个 方 法 描 述 的 字 符 串 数 组 。 k a （ a r g 6 ， k a （ f . c l a s s ） ） 将 内 容 存 储 到 文 件 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s / n a 1 l 2 t / n t m p 1 1 0 1 4 1 1 0 6 0 中 。 最 后 ， 通 过 连 接 p i d 和 t i d 计 算 字 符 串 “   1 1 0 1 4 1 1 0 6 0 ” 。 3 、 S y s t e m . l o a d （ v 3 _ 1 ） ： 加 载 / d a t a / d a t a / n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n / f i l e s / 1 4 9 7 9 1 2 6 8 9 8 1 3 _ o n l y d y V 1 7 0 4 1 7 0 1 D j 1 s o 3 2 . s o 。 在 函 数 f a （ t h i s . a . g e t A p p l i c a t i o n C o n t e x t （ ） ） 中 ， 它 可 以 调 用 c o m . a n d r o i d . j a r 1 a h . f 类 的 本 机 方 法 v o i d   a （ C o n t e x t   a r g 0 ） 。 函 数 t h i s . a a （ ） 启 动 线 程 c o m . a n d r o i d . j 1 c o l l e c t i o n . b 。 以 下 是 其 定 义 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理