搜索

[8540] 2014-12-30_PoisonCake（毒蛋糕）：内置于手机ROM的恶意代码模块

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-17
2014-12-30_PoisonCake（毒蛋糕）：内置于手机ROM的恶意代码模块 P o i s o n C a k e （ 毒 蛋 糕 ） ： 内 置 于 手 机 R O M 的 恶 意 代 码 模 块 F r e e B u f   2 0 1 4 - 1 2 - 3 0 A V L 移 动 安 全 团 队 近 日 联 合 移 动 安 全 团 队 近 日 联 合 L B E 发 现 一 款 内 置 于 手 机 发 现 一 款 内 置 于 手 机 R O M 的 恶 意 代 码 模 块 。 由 于 该 恶 意 代 码 作 者 将 此 恶 意 模 块 运 行 的 恶 意 代 码 模 块 。 由 于 该 恶 意 代 码 作 者 将 此 恶 意 模 块 运 行 释 放 的 模 块 称 为 释 放 的 模 块 称 为 “ C a k e ” ， 所 以 我 们 将 其 命 名 为 ， 所 以 我 们 将 其 命 名 为 “ P o i s o n C a k e （ 毒 蛋 糕 ） （ 毒 蛋 糕 ） ” 。 。 在 分 析 过 程 中 ， 我 们 还 发 现 该 恶 意 代 码 中 存 在 明 显 的 恶 意 代 码 作 者 身 份 标 识 在 分 析 过 程 中 ， 我 们 还 发 现 该 恶 意 代 码 中 存 在 明 显 的 恶 意 代 码 作 者 身 份 标 识 t j j ， ， r u a n x i a o z h e n ， 并 且 其 最 后 编 译 时 间 ， 并 且 其 最 后 编 译 时 间 为 为 2 0 1 4 年 年 8 月 月 2 6 日 日 1 0 点 点 2 0 分 。 分 。 该 恶 意 模 块 恶 意 行 为 特 点 如 下 ： 该 恶 意 模 块 恶 意 行 为 特 点 如 下 ： P o i s o n C a k e 可 以 单 独 运 行 ， 解 密 释 放 相 关 主 体 功 能 模 块 ， 在 后 台 监 控 自 身 进 程 并 执 行 以 下 恶 意 行 为 ：     1 .   注 入 P h o n e 进 程 ， 拦 截 短 信 和 发 送 短 信 。     2 .   实 现 短 信 和 W A P 扣 费 。     3 .   窃 取 手 机 信 息 ， 并 上 传 至 远 程 服 务 器 。     4 .   后 台 联 网 下 载 文 件 。     5 .   能 够 进 行 自 我 更 新 。 经 分 析 ， 我 们 发 现 该 恶 意 模 块 的 恶 意 行 为 与 经 分 析 ， 我 们 发 现 该 恶 意 模 块 的 恶 意 行 为 与 “ 长 老 木 马 三 代 长 老 木 马 三 代 ” 较 为 相 似 ， 但 是 在 实 现 方 式 上 有 较 大 差 异 。 下 面 将 对 恶 较 为 相 似 ， 但 是 在 实 现 方 式 上 有 较 大 差 异 。 下 面 将 对 恶 意 模 块 意 模 块 P o i s o n C a k e 进 行 详 细 的 分 析 。 进 行 详 细 的 分 析 。 一 、 一 、 P o i s o n C a k e 运 行 机 制 运 行 机 制 P o i s o n C a k e 运 行 时 ， 会 将 自 身 移 植 到 一 个 隐 藏 目 录 运 行 时 ， 会 将 自 身 移 植 到 一 个 隐 藏 目 录 / d a t a / . 3 q 下 ， 并 在 后 台 监 控 自 身 进 程 运 行 状 态 ， 防 止 自 身 进 程 被 终 下 ， 并 在 后 台 监 控 自 身 进 程 运 行 状 态 ， 防 止 自 身 进 程 被 终 止 。 止 。 同 时 它 在 执 行 过 程 中 会 创 建 多 个 目 录 和 文 件 ， 主 要 有 :                 / d a t a / . 3 q / d m               / d a t a / u s r （ 目 录 ）               / d a t a / u s r / d a l v i k - c a c h e （ 目 录 ）               / d a t a / u s r / p l u g i n s （ 目 录 ）               / d a t a / . l 1               / d a t a / . l 6               / d a t a / . l 9               / m n t / s d c a r d / s y s v / l v               / m n t / s d c a r d / s y s v / l g P o i s o n C a k e 的 主 体 模 块 分 为 的 主 体 模 块 分 为 r e a c t o r e . d e x . j a r 核 心 框 架 和 核 心 框 架 和 8 个 插 件 模 块 ， 其 中 插 件 模 块 主 要 提 供 了 恶 意 扣 费 、 联 网 上 传 个 插 件 模 块 ， 其 中 插 件 模 块 主 要 提 供 了 恶 意 扣 费 、 联 网 上 传 下 载 、 获 取 手 机 信 息 等 功 能 ， 并 且 能 够 注 入 系 统 下 载 、 获 取 手 机 信 息 等 功 能 ， 并 且 能 够 注 入 系 统 P h o n e 进 程 ， 执 行 短 信 的 监 听 和 发 送 ， 以 及 联 网 控 制 。 进 程 ， 执 行 短 信 的 监 听 和 发 送 ， 以 及 联 网 控 制 。 其 整 体 运 行 框 架 如 下 所 示 ：
二 、 二 、 d m 模 块 模 块 d m 模 块 是 模 块 是 P o i s o n C a k e 的 运 行 核 心 ， 主 要 完 成 恶 意 代 码 的 初 始 化 ， 恶 意 模 块 的 运 行 核 心 ， 主 要 完 成 恶 意 代 码 的 初 始 化 ， 恶 意 模 块 r e a c t o r . d e x . j a r 的 释 放 和 运 行 ， 并 后 台 监 控 的 释 放 和 运 行 ， 并 后 台 监 控 自 身 进 程 是 否 存 在 ， 同 时 还 将 关 键 的 字 符 串 信 息 进 行 加 密 。 自 身 进 程 是 否 存 在 ， 同 时 还 将 关 键 的 字 符 串 信 息 进 行 加 密 。 1 .   恶 意 代 码 初 始 化 恶 意 代 码 初 始 化 d m 模 块 接 受 “ - - s e t u p ” 参 数 完 成 初 始 化 行 为 ：       1 ） 解 密 关 键 的 字 符 串 信 息 为 字 符 串 数 组 。     2 ） 判 断 / d a t a / . d m t j j e x i t 是 否 存 在 ， 若 存 在 ， 则 进 程 退 出 。     3 ） 设 置 进 程 环 境 变 量 ， 并 将 进 程 名 称 改 为 j w o r k e r / 0 I : 2 H : 1 J 。     4 ） 将 自 身 拷 贝 到 / d a t a / . 3 q / d m ， 并 创 建 / d a t a / u s r 目 录 ， 然 后 删 除 自 身 。     5 ） f o r k 自 身 并 退 出 ， 子 进 程 执 行 / d a t a / . 3 q / d m ， 由 其 完 成 余 下 工 作 。 2 .   后 台 监 控 后 台 监 控 d m 模 块 采 用 了 文 件 锁 和 线 程 的 方 式 ， 能 持 续 监 控 自 身 进 程 保 持 后 台 运 行 。 d m 运 行 时 后 台 有 两 个 进 程 ， 如 下 图 所 示 。 创 建 子 线 程 ， 不 断 循 环 创 建 自 身 子 进 程 的 行 为 ， 并 且 利 用 文 件 锁 ， 保 证 建 立 的 子 进 程 在 父 进 程 存 在 的 时 候 阻 塞 ：
当 k i l l 掉 父 进 程 或 子 进 程 中 任 意 一 个 时 ， 其 会 再 创 建 一 个 新 的 进 程 。 3 .   r e a c t o r . d e x . j a r 解 密 释 放 和 运 行 解 密 释 放 和 运 行 最 后 d m 进 程 会 从 自 身 文 件 中 解 密 释 放 r e a c t o r . d e x . j a r 至 / d a t a / u s r ： d m 随 后 将 释 放 的 r e a c t o r e . d e x . j a r 加 载 运 行 ， 其 利 用 l i b d v m . s o 中 的 J N I _ C r e a t e J a v a V M 运 行 j a r ， 其 参 数 列 表 为 - - D j a v a . c l a s s . p a t h = / d a t a / u s r / r e a c t o r e . d e x . j a r - D j a v a . c o m p i l e r = N O N E   - v e r b o s e : j n i 然 后 注 册 n a t i v e 函 数 g e t G i r l s ， 最 后 执 行 c o m / t j / M a i n 的 m a i n 方 法 。   4 .   g e t G i r l s 方 法 方 法 d m 还 同 时 为 还 同 时 为 r e a c t o r e . d e x . j a r 提 供 提 供 n a t i v e 方 法 实 现 ， 其 接 受 两 个 参 数 ， 作 用 为 解 密 指 定 方 法 实 现 ， 其 接 受 两 个 参 数 ， 作 用 为 解 密 指 定 j a r 文 件 到 指 定 路 径 。 文 件 到 指 定 路 径 。   三 、 三 、 r e a c t o r e . d e x . j a r 模 块 模 块 r e a c t o r e . d e x . j a r 是 由 一 个 负 责 初 始 化 环 境 、 循 环 遍 历 执 行 事 件 和 命 令 的 框 架 模 块 和 数 个 插 件 模 块 组 成 ， 其 将 功 能 模 块 实 现 分 成 四 个 主 要 类 别 ：     1 ） 基 础 设 施 I n f r a s t r u c t o r 。     2 ） 业 务 仓 库 R e p o s i t o r y 。     3 ） 服 务 S e r v i c e ， 负 责 后 台 执 行 相 关 功 能 。     4 ） 组 件 C o m p o n e n t 。 其 整 体 执 行 逻 辑 流 程 如 下 图 ：
四 、 插 件 模 块 四 、 插 件 模 块 r e a c t o r e . d e x . j a r 内 置 默 认 了 8 个 插 件 模 块 ， 每 个 插 件 分 别 执 行 不 同 的 行 为 ： 表 表 1   插 件 名 称 及 其 作 用 插 件 名 称 及 其 作 用 以 下 对 重 点 的 插 件 模 块 分 别 进 行 分 析 。 1 ） ） b e a n 模 块 模 块 b e a n 模 块 主 要 完 成 对 模 块 主 要 完 成 对 p h o n e 进 程 的 注 入 ， 监 听 本 地 进 程 的 注 入 ， 监 听 本 地 1 0 0 2 3 端 口 ， 获 取 手 机 号 码 、 端 口 ， 获 取 手 机 号 码 、 i m s i 、 、 i m e i 、 、 a p n 、 联 网 等 信 息 ， 并 实 现 、 联 网 等 信 息 ， 并 实 现 短 信 发 送 与 拦 截 、 联 网 方 式 的 控 制 。 短 信 发 送 与 拦 截 、 联 网 方 式 的 控 制 。 其 首 先 释 放 可 执 行 模 块 w h i t e b e a n 和 待 注 入 的 l i b b l a c k b e a n . s o 、 r e d b e a n . d e x . j a r ， 然 后 依 次 执 行 以 下 命 令 完 成 注 入 ： a .   w h i t e b e a n   - - c h e c k   l i b b l a c k b e a n . s o 检 测 运 行 环 境 ， 这 里 主 要 检 查 a n d r o i d : : A n d r o i d R u n t i m e : : m J a v a V M 和 a n d r o i d : : A n d r o i d R u n t i m e : : g e t R u n t i m e 的 获 取 。
b .   w h i t e b e a n   c o m . a n d r o i d . p h o n e l i b b l a c k b e a n . s o   r e a d b e a n . d e x . j a r   c a c h e   R e l e a s e   / d a t a / u s r / s e r v e r . l o g 其 将 l i b b l a c k b e a n . s o 和 r e a d b e a n . d e x . j a r 注 入 到 p h o n e 进 程 中 ， 并 执 行 c o m . a n d r o i d . p h o n e . o s . P r o g r a m 类 。 完 成 后 删 除 自 身 。 在 注 入 完 成 后 ， 会 监 听 在 注 入 完 成 后 ， 会 监 听 1 0 0 2 3 端 口 接 受 请 求 ， 此 时 由 于 具 备 端 口 接 受 请 求 ， 此 时 由 于 具 备 P h o n e 进 程 权 限 ， 所 以 可 以 进 行 短 信 拦 截 发 送 ， 进 程 权 限 ， 所 以 可 以 进 行 短 信 拦 截 发 送 ， A P N 网 络 网 络 管 理 及 获 取 手 机 号 码 、 数 据 连 接 等 相 关 信 息 。 管 理 及 获 取 手 机 号 码 、 数 据 连 接 等 相 关 信 息 。 2 ） ） h o n e y b e e 模 块 模 块 h o n e y b e e 模 块 主 要 会 记 录 运 行 日 志 信 息 ， 以 A E S 加 密 形 式 存 放 至 / d a t a / u s r / h o n e y 文 件 ， 并 且 上 传 至 远 程 服 务 器 h t t p : / / s l a s t y . h a d a 1 b i l l i . i n f o / h o n e y c o m b / u m s / p o s t E v e n t 。 h o n e y 文 件 的 解 密 结 果 如 下 所 示 ： 3 ） ） s u n 模 块 模 块
s u n 模 块 主 要 提 供 网 络 连 接 功 能 ， 并 与 远 程 服 务 器 建 立 H e a r t b e a t 连 接 ， 其 连 接 u r l 为 h t t p : / / u b a j . t n d m n s h a . c o m / t h r o n e 。 五 、 总 结 五 、 总 结 P o i s o n C a k e 是 一 个 非 常 完 善 的 后 门 程 序 ， 其 实 现 具 备 良 好 的 架 构 特 点 ， 并 且 易 于 扩 展 ， 其 在 运 行 过 程 中 会 迅 速 删 除 自 身 释 放 的 模 块 ， 所 有 在 手 机 上 存 放 的 文 件 均 为 加 密 形 态 。 其 执 行 较 为 隐 蔽 ， 并 且 难 以 被 发 现 和 查 杀 。 A V L 移 动 安 全 团 队 分 析 师 指 出 ， 用 户 可 以 执 行 移 动 安 全 团 队 分 析 师 指 出 ， 用 户 可 以 执 行 " p s   d m " 命 令 查 看 是 否 存 在 恶 意 代 码 进 程 ， 或 者 检 查 是 否 存 命 令 查 看 是 否 存 在 恶 意 代 码 进 程 ， 或 者 检 查 是 否 存 在 在 / d a t a / . 3 q / d m 、 、 / d a t a / u s r 目 录 来 判 断 是 否 感 染 目 录 来 判 断 是 否 感 染 P o i s o n C a k e 木 马 。 同 时 用 户 还 可 以 通 过 下 载 木 马 。 同 时 用 户 还 可 以 通 过 下 载 P o i s o n C a k e 专 杀 工 具 进 行 检 专 杀 工 具 进 行 检 测 和 查 杀 该 木 马 。 测 和 查 杀 该 木 马 。   由 由 A V L 移 动 安 全 团 队 推 出 移 动 安 全 团 队 推 出 P o i s o n C a k e 专 杀 工 具 新 鲜 出 炉 啦 专 杀 工 具 新 鲜 出 炉 啦 工 具 下 载 地 址 ： 工 具 下 载 地 址 ： h t t p s : / / u p d a t e . a v l y u n . c o m / A v l P r o / P o i s o n C a k e K i l l e r . a p k [ 作 者 作 者 / A V L T e a m （ 企 业 账 号 ） ， 不 影 响 文 章 质 量 的 情 况 下 可 能 出 现 少 量 商 业 信 息 ， 转 载 请 注 明 来 自 （ 企 业 账 号 ） ， 不 影 响 文 章 质 量 的 情 况 下 可 能 出 现 少 量 商 业 信 息 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 黑 客 与 极 客 （ 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理