搜索

[8098] 2014-06-20_fireeyee解剖新型Android恶意软件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-06-20_fireeyee解剖新型Android恶意软件 f i r e e y e e 解 剖 新 型 A n d r o i d 恶 意 软 件 s e c r o r o   F r e e B u f   2 0 1 4 - 0 6 - 2 0 总 结 总 结 你 是 否 下 载 安 装 过 体 积 很 大 但 是 你 是 否 下 载 安 装 过 体 积 很 大 但 是 U I 或 者 功 能 很 少 的 或 者 功 能 很 少 的 A n d r o i d 应 用 程 序 ？ 最 近 ， 应 用 程 序 ？ 最 近 ， F i r e E y e 实 验 室 移 动 安 全 研 究 人 员 发 现 了 实 验 室 移 动 安 全 研 究 人 员 发 现 了 一 种 新 型 的 手 机 恶 意 软 件 ， 在 看 起 来 普 通 的 应 用 下 内 嵌 着 加 密 过 的 附 件 程 序 ， 很 好 的 隐 藏 了 其 进 行 恶 意 活 动 。 一 种 新 型 的 手 机 恶 意 软 件 ， 在 看 起 来 普 通 的 应 用 下 内 嵌 着 加 密 过 的 附 件 程 序 ， 很 好 的 隐 藏 了 其 进 行 恶 意 活 动 。 恶 意 a p p 程 序 会 伪 装 成 G o o g l e   P l a y 商 店 ， 尤 其 是 其 图 标 完 全 模 仿 了 主 屏 幕 上 G o o g l e   P l a y 的 图 标 。 一 旦 安 装 成 功 ， 黑 客 使 用 一 个 动 态 的 D N S 服 务 器 和 通 过 S S L 协 议 的 G m a i l 来 搜 集 A n d r o i d 设 备 上 的 文 本 信 息 、 签 名 证 书 和 银 行 密 码 。 下 面 是 主 程 序 、 附 件 程 序 、 恶 意 代 码 之 间 的 关 系 图 ： 恶 意 程 序 的 包 名 为 c o m . s d w i u r s e ， 程 序 名 为 “ g o o g l e   a p p   s t o y ” 。 由 于 “ 卸 载 ” 功 能 被 禁 用 ， 设 备 感 染 后 A n d r o i d 用 户 不 能 卸 载 该 程 序 ， 并 且 程 序 会 继 续 以 服 务 的 形 式 在 后 台 运 行 。 这 些 服 务 能 够 手 动 停 止 但 是 会 随 着 手 机 的 重 启 而 重 启 。 由 于 该 恶 意 程 序 的 独 特 打 包 压 缩 特 性 ， 截 止 2 0 1 4 年 6 月 1 3 日 ， 该 程 序 在 V i r u s   T o t a l 的 识 别 率 只 有 3 / 5 1 。 因 为 大 多 数 公 司 只 使 用 基 于 签 名 的 算 法 来 检 测 恶 意 软 件 ， 他 们 无 法 检 测 到 隐 藏 在 普 通 程 序 中 的 恶 意 内 容 。 我 们 注 意 到 该 恶 意 程 序 大 小 为 1 . 7 M B 但 只 有 7 1 1 行 代 码 。 a s s e t 文 件 夹 下 的 一 个 最 大 的 单 文 件 ， 名 为 “ d s ” 并 具 有 5 9 7 K B 的 大 小 。 在 解 压 和 解 密 后 ， 真 正 的 d e x 包 文 件 将 整 个 程 序 的 大 小 扩 大 至 2 . 2 M B 。 黑 客 用 少 量 代 码 的 规 避 技 术 来 掩 盖 其 恶 意 程 序 的 真 正 目 的 。 用 户 体 验 用 户 体 验
安 装 完 成 后 ， 主 屏 幕 上 会 多 出 一 个 新 图 标 “ g o o g l e   a p p   s t o y ” 。 该 图 标 跟 真 正 的 “ G o o g l e   P l a y ” 一 样 ， 这 样 可 以 迷 惑 用 户 点 击 它 。 一 旦 点 击 ， 应 用 程 序 会 要 求 获 取 设 备 的 管 理 员 权 限 ， 如 图 ： 当 我 们 继 续 观 察 应 用 程 序 的 行 为 时 ， 应 用 程 序 会 弹 出 唯 一 的 用 户 界 面 说 ： “ 程 序 错 误 ” 和 “ 删 除 ！ “ 。 接 下 来 ， 程 序 终 止 并 出 现 通 知 消 息 “ U n f o r t u n a t e l y , g o o g l e   a p p   s t o y   h a s   s t o p p e d . ”   出 现 这 种 情 况 后 ， 在 主 屏 幕 上 的 应 用 程 序 图 标 自 动 删 除 ， 欺 骗 用 户 认 为 它 真 的 已 经 删 除 了 。 然 而 ， 当 打 开 “ 设 置 - > 应 用 程 序 ， 我 们 仍 然 可 以 在 “ 下 载 ” 选 项 卡 中 找 到 应 用 程 序 和 “ 运 行 程 序 ” 选 项 卡 。 此 外 ， 在 “ 下 载 ” 选 项 卡 中 ， 应 用 程 序 不 能 被 停 止 或 卸 载 ：
在 “ 运 行 程 序 ” 选 项 卡 中 ， 恶 意 程 序 开 始 运 行 五 个 服 务 ： 1 .       u p l o a d C o n t e n t S e r v i c e 2 .       U n i n s t a l l e r S e r v i c e 3 .       S o f t S e r v i c e 4 .       u p l o a d P h o n e 5 .       a u t o R u n S e r v i c e
加 密 加 密 该 文 件 是 用 如 图 所 示 的 J a v a   C r y p t o g r a p h i c   E x t e n s i o n   ( J C E ) 框 架 中 的 j a v a x . c r y p t o 包 来 加 密 的 。 加 密 算 法 是 基 于 数 据 加 密 标 准 （ D E S ） 。 s t r K e y 是 “ g j a o u n ” 。 在 文 件 被 解 密 后 ， 它 会 以 d e x 类 加 载 ： 所 有 的 恶 意 行 为 都 在 这 个 d e x 文 件 中 。 恶 意 行 为 恶 意 行 为 在 恶 意 D E X 包 的 源 代 码 中 ， “ c l a s s . d e x ” 是 从 加 密 文 件 “ x . z i p ” 解 压 缩 出 来 的 。 在 分 析 这 段 代 码 时 ， 我 们 发 现 从 感 染 的 A n d r o i d 设 备 窃 取 私 人 信 息 有 三 种 方 式 。 我 们 将 介 绍 恶 意 软 件 的 工 作 原 理 并 分 析 网 络 流 量 中 恶 意 行 为 的 证 据 。 1 .   窃 取 S M S 信 息
在 代 码 中 ， a k 4 0 . t x t 是 / s t o r a g e / s d c a r d 0 / t e m p / 文 件 夹 中 一 个 包 含 字 符 串 的 文 件 。 当 内 容 为 1 时 ， S M S 消 息 会 被 发 送 到 一 个 电 子 邮 件 地 址 。 电 子 邮 件 地 址 和 密 码 都 存 储 在 / s t o r a g e / s d c a r d 0 / t e m p / 目 录 下 的 文 件 中 。 黑 客 所 用 S S L 协 议 的 G m a i l 来 规 避 大 多 数 A V 厂 商 在 网 络 流 量 中 的 特 征 检 测 方 法 。 2 .   窃 取 签 名 证 书 和 密 钥 变 量 v 1 是 A n d r o i d 手 机 的 电 话 号 码 ， U r l . g e t S D P a t h ( ) 是 安 装 存 储 的 t e m p 目 录 ： 同 名 的 “ a l l . z i p ” 文 件 会 被 上 传 到 服 务 器 ， 并 命 名 为 “ { P H O N E _ N U M B E R } _ n p k i . z i p ” 附 件 通 过 G m a i l 发 送 。
3 . 窃 取 银 行 账 号 密 码 网 络 流 量 网 络 流 量 1 . S M S 消 息 发 送 因 为 目 标 e m a i l 地 址 和 密 码 都 是 保 存 在 手 机 中 的 ， 我 们 将 其 替 换 为 一 个 测 试 账 号 ， 这 样 测 试 的 S M S 消 息 被 截 获 后 将 重 定 向 至 模 拟 的 测 试 邮 箱 账 户 中 。 下 面 是 我 们 从 测 试 账 户 中 截 获 到 的 短 信 ： 时 间 戳 显 示 电 子 邮 件 地 址 接 收 到 的 内 容 （ 在 9 : 3 9   p m ） 这 距 受 害 者 的 短 信 接 收 （ 在 9 : 3 8   P M ） 的 时 间 间 隔 在 1 分 钟 内 。 2 . 签 名 证 书 和 密 钥 传 输
我 们 抓 到 的 P c a p 数 据 包 显 示 ， “ a l l . z i p ” 被 上 传 到 域 名 “ d h f j h e w j h s l d i e . x i c p . n e t ” ： 同 一 文 件 更 名 为 { P H O N E _ N U M B E R } _ n p k i . z i p 并 以 G m a i l 附 件 方 式 使 用 S S L 加 密 发 送 。 下 面 的 图 片 显 示 ， 从 附 件 解 压 后 ， 恶 意 程 序 软 件 传 输 到 S M T P 服 务 器 的 签 名 证 书 文 件 和 签 名 用 到 的 密 钥 。 3 . 银 行 账 户 密 码 传 输 我 们 发 现 了 包 含 有 受 害 者 账 户 及 密 码 的 e m a i l 证 据 并 与 G o o g l e 的 G m a i l 工 作 组 通 报 了 黑 客 的 G m a i l 账 户 。 v i a   f i r e e y e 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理