“僵尸之手”:一种伪装成正常应用的恶意病毒

2016-04-19 290627人围观 ,发现 7 个不明物体 文章终端安全

图0-0.png

最近,安天AVL移动安全和猎豹移动安全实验室共同截获病毒“僵尸之手”——一种伪装成正常应用,并通过远程指令控制中毒手机,实施恶意行为的病毒。该病毒通常伪装成正常的工具类应用或娱乐类应用进行传播(如下图所示)。

“僵尸之手”在用户未察觉其为病毒的情况下安装进入用户手机,成功绕开部分杀毒软件的查杀后,进而联网下载实际发挥恶意作用的程序并诱导用户安装。一旦实现远程控制中毒用户手机,“僵尸之手”将强制手机下载更多其他病毒软件并尝试安装。

图1-1.jpg

图   伪装正常应用的 “僵尸之手”系列应用

如果你以为这样就算完了,

小编只能朝天猛吼一句,

图样图森破啊!

如果已Root的手机不幸中招,该病毒在获取中招手机Root权限后将自动下载并安装、运行病毒软件,造成用户流量和资费的严重损耗!此外,“僵尸之手”还会在特定时机自动卸载病毒,第一时间清理“作案”现场,中招的用户往往话费被”掏空“了都不知道是为啥…

经过分析,“僵尸之手“恶意软件有如下行为特征:

1、   恶意程序启动后,会私自下载其他恶意子程序,安装并启动恶意子程序。

2、   恶意子程序启动后,会执行恶意扣费、流氓推送等恶意行为。

3、   恶意子程序启动本地服务并常驻后台,同时每隔15分钟联网获取远程控制指令,根据指令进行相应操作。

图2-2.png

图   “僵尸之手”作案流程图

一、恶意代码详细分析

Step1:下载并安装恶意子程序

程序启动后,通过监听用户开机启动、解锁、网络变化的情况来启动恶意程序相应的功能模块,功能模块启动后会通过网址http://dfchan.cn.com:8080/a/dfc_poll2.apk下载恶意子程序。

图3-3.png

图  下载恶意子程序

该恶意程序在恶意子程序下载结束后会请求root权限,并试图使用shell cat命令将恶意子程序重定向到系统目录下,若重定向失败会试图使用pm install –r 命令静默安装恶意子程序,如果仍然失败则会弹出“您有组件需要立即更新,点击更新”的通知栏,诱导用户主动点击进行安装。

图4-4.png

图  重定向恶意子程序到系统目录

图5-5.png

图   静默安装恶意子程序

图6-6.png

图   通知栏诱导安装恶意子程序

Step2:通过远程指令控制推送恶意应用安装、运行和卸载

该恶意软件成功安装恶意子程序后,会创建一个每隔15分钟启动的定时服务:CmdService。该服务启动后,恶意软件通过网址:http://111.67.201.217:8080/a/taskList5.txt联网获取远程控制指令,同时解析指令执行相应的操作。

图7-7.png

远程指令格式:#StartHour~EndHour,,,,classname-cmdid url packagename servicename

指令字段说明:

图8-8.png

当前活跃的远程指令主要在Sao和Browse类中,指令信息如下图所示:

图9-9.png

从Sao类中获取下载apk的网址,下载并将apk文件保存在files目录。程序通过请求root权限试图将下载的apk进行静默安装或使用系统安装界面进行安装,并使用包名和service来启动apk,最后将这些安装运行的apk加入到卸载列表。

在当前活跃指令中的网址下载的apk程序大部分为恶意应用,检出结果如下表:

图10-10.png

该恶意软件成功申请root权限后,定时服务CmdService再次执行时会将卸载列表中的恶意apk通过pm uninstall命令进行静默卸载,同时接收新的指令并执行。

图11-11.png

图12-12.png

在Browse类中,通过指令获取数据构造Uri去打开指定界面,在当前案例中通过浏览器来访问网址http://down.huobaotv.org/344/huobaotv.app下载服务端指定的安全性未知的应用。

图13-13.png

各类执行的指令功能如下图所示:

图14-14.png

Step3:恶意代码来源与行为类型分析

 通过对该恶意软件来源进行调查分析,我们发现该ftp.dsmer.com域名下77%的样本皆为恶意样本。这些恶意样本的行为分布如下:

图15-15.jpg

二、安全建议

针对“僵尸之手“系列恶意软件,安全专家提醒您:

1、请保持良好的上网习惯,不要在非官方网站或者不知名应用市场下载任何应用;

2、经常使用杀毒软件病毒扫描功能,以确认您的手机中是否可能存在安全隐患;

3、尽量不要Root手机,已Root的手机用户请务必谨慎,不要轻易授予Root权限给您不信任的软件。

* 作者:AVLTeam(企业账号),转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)

这些评论亮了

  • xxxxc308 回复
    嗯,我没root手机,结果被人远程root了,写了分区,刷机都不管用,估计只能boot,弄得我指纹都不敢用了…
    )10( 亮了
  • zhongsq (1级) 回复
    您好,能否把这个木马程序和分析软件发给我一下呢,我学习一下。谢谢。1783165521@qq.com
    )8( 亮了
  • xxxxc308 回复
    @ 昵称为null 卧槽 说的没错,自己没解锁root反倒只能眼睁睁看着自己一步步变鸡 :arrow:
    )8( 亮了
  • it青年在狂奔 回复
    这手可以
    )8( 亮了
  • 昵称为null 回复
    现在病毒越来越厉害了,有漏洞的手机直接给你后台root了,想干嘛干嘛,而你又无可奈何
    )7( 亮了
发表评论

已有 7 条评论

取消
Loading...

特别推荐

推荐关注

活动预告

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php