搜索

[8172] 2014-08-05_走进科学：对七夕“超级病毒”XX神器的逆向分析

文档创建者：s7ckTeam
浏览次数：52
最后更新：2025-01-17
2014-08-05_走进科学：对七夕“超级病毒”XX神器的逆向分析 走 进 科 学 ： 对 七 夕 “ 超 级 病 毒 ” X X 神 器 的 逆 向 分 析 墨 阳   F r e e B u f   2 0 1 4 - 0 8 - 0 5 首 先 给 各 位 无 良 媒 体 记 者 跪 了 。 首 先 给 各 位 无 良 媒 体 记 者 跪 了 。 七 夕 那 天 刚 从 公 司 拿 到 样 本 的 时 候 还 以 为 是 主 管 随 便 到 网 上 扒 了 个 木 马 d e m o 给 我 练 手 ， 第 二 天 看 新 闻 才 知 道 这 小 玩 具 已 经 搞 得 满 城 风 雨 ， 媒 体 竟 然 称 它 为 “ 超 级 手 机 病 毒 ” ( - _ - # ) 不 得 不 感 叹 混 安 全 圈 想 装 逼 简 直 太 容 易 了 。 在 此 强 烈 谴 责 这 种 夸 张 报 道 ， 不 仅 向 公 众 传 递 错 误 信 息 ， 也 会 影 响 孩 子 的 价 值 观 。 短 短 今 天 说 这 个 a p k 没 有 任 何 研 究 价 值 ， 虽 然 技 术 是 非 常 拙 劣 ， 但 是 其 利 用 短 信 不 会 审 核 恶 意 链 接 的 性 质 传 播 的 方 式 倒 是 令 人 眼 前 一 亮 。 下 面 就 来 瞧 瞧 这 个 下 面 就 来 瞧 瞧 这 个 “ X X 神 器 神 器 ” 的 真 面 目 的 真 面 目 从 恶 意 链 接 上 下 载 到 “ X X s h e n q i . a p k ” ， 考 虑 到 是 恶 意 应 用 ， 先 不 急 着 安 装 ， 反 编 译 一 下 看 看 这 到 底 是 个 什 么 玩 意 。 直 接 拖 进 A P K I D E ， 查 看 A n d r o i d M a n i f e s t . x m l ：
乍 一 看 ， 似 乎 除 了 声 明 了 发 送 短 信 和 读 取 联 系 人 的 权 限 比 较 可 疑 ， 没 其 他 什 么 特 点 。 组 件 部 分 也 只 有 A c t i v i t y ， 没 有 S e r v i c e ， 没 有 B r o a d c a s t R e c e i v e r ， 并 不 具 备 木 马 特 征 。 观 察 到 主 A c t i v i t y 是 W e l c o m e A c t i v i t y ， 那 就 先 进 这 个 A c t i v i t y 看 看 在 搞 什 么 名 堂 。 这 个 木 马 并 没 有 做 代 码 混 淆 ， 直 接 反 编 译 W e l c o m e A c t i v i t y 就 能 看 到 J a v a 源 代 码 ， 首 先 看 到 的 东 西 很 令 人 惊 讶 ： 不 需 要 仔 细 看 就 知 道 是 在 群 发 短 信 ， 但 是 真 正 让 人 惊 讶 的 是 这 段 代 码 里 居 然 藏 了 一 个 手 机 号 ( っ   ° Д   ° ; ) っ 把 自 己 的 I D 藏 在 病 毒 里 的 事 情 中 已 经 见 怪 不 怪 了 ， 这 种 赤 裸 裸 暴 露 自 己 手 机 号 的 还 是 第 一 次 见 ( ; ¬ _ ¬ ) 别 急 ， 下 面 还 有 更 卧 槽 的 。 这 一 句 话 就 是 木 马 传 播 的 核 心 ， 获 取 通 讯 录 并 向 联 系 人 发 送 包 含 该 木 马 下 载 链 接 的 短 信 。 通 常 在 Q Q 或 者 邮 件 里 发 送 恶 意 链 接 的 话 都 会 被 检 查 ， 而 现 在 的 短 信 却 不 具 备 检 查 内 容 的 安 全 机 制 ， 这 是 该 木 马 最 大 的 亮 点 。 W e l c o m e A c t i v i t y 开 启 群 发 短 信 的 进 程 后 ， 继 续 启 动 M a i n A c t i v i t y ， 在 M a i n A c t i v i t y 里 找 到 三 个 i f 语 句 ：
不 难 看 出 ， 这 就 是 登 陆 按 钮 的 事 件 处 理 ， 三 个 i f 语 句 以 各 种 理 由 拒 绝 用 户 登 陆 ， 这 样 做 的 原 因 就 只 有 一 个 ， 这 个 所 谓 的 登 录 窗 口 是 假 的 ， 这 个 “ X X 神 器 ” 根 本 没 有 任 何 功 能 ， 当 然 没 办 法 让 人 登 陆 了 。 那 那 M a i n A c t i v t y 的 主 要 目 的 是 干 什 么 呢 ？ 找 到 的 主 要 目 的 是 干 什 么 呢 ？ 找 到 r e t r i e v e A p k F r o m A s s e t s 方 法 ： 方 法 ： 可 以 看 到 ， 该 方 法 从 a s s e t s 文 件 夹 里 释 放 了 一 个 文 件 。 那 就 赶 紧 到 a s s e t s 文 件 夹 下 找 到 这 个 文 件 吧 ヽ ( ` Д ´ ) ﾉ 居 然 声 称 自 己 的 包 名 前 缀 是 c o m . a n d r o i d   ( ; ¬ _ ¬ ) 反 编 译 这 个 a p k ， 打 开 A n d r o i d M a n i f e s t . x m l ， 看 看 到 底 在 搞 什 么 名 堂 ：
看 到 这 些 基 本 上 什 么 都 懂 了 ， “ X X s h e n q i . a p k ” 其 实 是 个 外 壳 ， 其 真 正 目 的 是 释 放 隐 藏 在 其 真 正 目 的 是 释 放 隐 藏 在 a s s e t s 文 件 夹 下 文 件 夹 下 的 的 c o m . a n d r o i d . T r o g o o g l e . a p k ， 这 才 是 木 马 本 体 。 ， 这 才 是 木 马 本 体 。 查 看 s m a l i 目 录 ， 发 现 有 如 下 几 个 包 ： 简 略 看 了 看 源 码 ， 其 他 几 个 包 跟 c o m 包 杂 乱 无 章 的 代 码 风 格 不 一 样 ， 应 该 是 作 者 找 的 开 源 包 ， 只 有 c o m 包 才 是 木 马 功 能 真 正 的 实 现 部 分 ， 所 以 只 需 要 把 精 力 放 在 这 个 包 上 就 可 以 了 。 查 看 c o m 包 的 源 码 ， 首 先 注 意 到 的 是 B r o a d c a s t A u t o B o o t ， 这 是 个 接 收 开 机 事 件 的 B r o a d c a s t R e c e i v e r ： 可 以 看 到 收 到 开 机 事 件 后 ， 启 动 了 L i s t e n M e s s a g e S e r v i c e ， 这 是 木 马 常 用 的 开 机 自 启 方 式 。 跟 进 L i s t e n M e s s a g e S e r v i c e 看 看 ， 注 意 到 以 下 两 个 方 法 ： p r i v a t e   S t r i n g   R e a d A l l M e s s a g e ( C o n t e x t   p a r a m C o n t e x t ) ： p r i v a t e   v o i d   R e a d C O N T A C T S ( C o n t e x t   p a r a m C o n t e x t ,   S t r i n g   p a r a m S t r i n g ) 在 R e a d A l l M e s s a g e 中 找 到 下 面 这 一 行 ： 在 R e a d C O N T A C T S 中 找 到 下 面 一 行 ：
不 难 判 断 出 R e a d A l l M e s s a g e 的 目 的 是 读 取 所 有 短 信 ， R e a d C O N T A C T S 则 是 读 取 通 话 记 录 。 继 续 往 下 看 ， 跟 踪 继 续 往 下 看 ， 跟 踪 o n S t a r t ( ) ， 看 看 服 务 启 动 后 做 了 哪 些 事 情 ， 注 意 下 面 这 一 行 是 关 键 ： ， 看 看 服 务 启 动 后 做 了 哪 些 事 情 ， 注 意 下 面 这 一 行 是 关 键 ：   L i s t e n M e s s a g e S e r v i c e . t h i s . g e t C o n t e n t R e s o l v e r ( ) . r e g i s t e r C o n t e n t O b s e r v e r ( U r i . p a r s e ( " c o n t e n t : / / s m s " ) ,   t r u e ,   n e w   L i s t e n M e s s a g e S e r v i c e . S m s O b s e r v e r ( L i s t e n M e s s a g e S e r v i c e . t h i s ,   n e w   L i s t e n M e s s a g e S e r v i c e . S m s H a n d l e r ( L i s t e n M e s s a g e S e r v i c e . t h i s ,   L i s t e n M e s s a g e S e r v i c e . t h i s ) ) ) ; L i s t e n M e s s a g e S e r v i c e 启 动 后 注 册 了 一 个 C o n t e n t O b s e r v e r 监 视 短 信 数 据 库 ， 处 理 H a n d l e r 为 L i s t e n M e s s a g e S e r v i c e . S m s H a n d l e r ， 继 续 跟 进 实 现 处 理 U r i 改 变 的 o n C h a n g e ( ) 方 法 ， 发 现 下 面 关 键 行 ： 木 马 通 过 监 视 短 信 收 件 箱 ， 当 手 机 收 到 短 信 时 将 其 截 获 ， 并 且 发 送 到 1 8 1 * * * * 7 3 9 7 这 个 号 码 。 继 续 看 ： 木 马 特 别 留 意 了 1 8 6 * * * * 9 9 0 4 这 个 号 码 的 短 信 ， 将 其 视 为 命 令 消 息 ， 继 续 往 下 找 到 处 理 逻 辑 ： 继 续 往 下 找 到 处 理 逻 辑 ： 该 短 信 共 有 该 短 信 共 有 5 个 操 作 命 令 ： 个 操 作 命 令 ： r e a d m e s s a g e ： 发 送 邮 件 命 令 ， 启 动 M y S e n d E m a i l S e r v i c e ， 将 收 件 箱 和 发 件 箱 的 短 信 以 邮 件 形 式 发 送 s e n d m e s s a g e ： 发 送 短 信 命 令 ， 能 控 制 该 手 机 发 送 任 意 短 信 到 任 意 号 码 t e s t ： 测 试 命 令 ， 将 “ 【 数 据 库 截 获 】 T E S T 数 据 截 获 （ 广 播 失 效 ） ” 以 短 信 发 送 至 1 8 6 * * * * 9 9 0 4 m a k e m e s s a g e ： 伪 造 任 意 地 址 、 任 意 内 容 的 短 信 s e n d l i n k ： 读 取 联 系 人 信 息 ， 以 邮 件 方 式 发 送 在 此 明 晰 了 该 木 马 的 大 体 架 构 ， 该 木 马 利 用 指 定 号 码 发 送 短 信 ， 控 制 肉 鸡 将 隐 私 信 息 以 邮 件 形 式 发 送 到 自 己 的 邮 箱 。
一 个 有 趣 的 细 节 是 ， 木 马 作 者 将 自 己 的 Q Q 邮 箱 和 密 码 全 部 暴 露 在 了 代 码 里 ( ; ¬ _ ¬ ) ， 拿 到 密 码 后 ， 兴 冲 冲 地 去 登 陆 这 个 邮 箱 ， 却 发 现 密 码 已 经 被 改 了 ， 估 计 是 被 前 辈 们 抢 先 了 吧 。 有 关 这 个 木 马 的 关 键 点 就 讲 到 这 儿 ， 有 兴 趣 的 朋 友 可 以 自 己 找 样 本 分 析 ， 代 码 没 做 混 淆 ， 肉 眼 就 能 看 懂 。 虽 然 木 马 使 用 的 技 术 很 小 儿 科 ， 但 是 能 其 利 用 短 信 广 泛 传 播 的 特 点 令 人 深 思 ， 余 弦 前 辈 说 ： 很 多 时 候 ， 工 程 化 能 力 远 比 单 点 技 术 研 究 重 要 多 了 。 [ 原 文 地 址 ] h t t p : / / w w w . c n b l o g s . c o m / b R A y K p o y N t / p / 3 8 9 1 2 6 5 . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理