AVL移动安全团队最近发现了一种Android下捆绑包形式的远程控制木马，其包含了接受指令执行用户隐私上传、发送短信等恶意行为，而捆绑包形式无疑会产生批量化的捆绑木马，捆绑包形式广告件泛滥既是前例。

样本分析

样本基本信息:

包结构分析

这个样本是对正常应用重新打包来生成，打包的过程当中捆绑了恶意包结构。

上面左图是捆绑了恶意包的样本结构，右边是正常的应用包结构。

正常应用的AM结构：

捆绑恶意后的样本AM结构：

对比可以看到恶意样本的AM当中增加了很多用户权限，以及receiver，service信息。

远控指令分析

该木马通过URL获取指令，而其中包含的远控指令相当之多，但都是一些基本的操作，而通过不同的组合可以实现很多功能。

远控指令列表：

列表中主要有读取通话记录、联系人、短信内容、日历事件安排等隐私内容，也有上传下载文件、发送短信、进行录音和音量及铃声模式控制，这一系列组合起来不仅能获取用户各方面隐私和秘密信息，甚至完全可以把被植入木马手机作为窃听工具。

在com/gamescore/Ba类中保存着木马的指令字符串信息：

在com/gamescore/GameScore类中则实现了相应的功能：

在net\socket\util\Za.smali类中实现socket通信：

样本的指令是在运行时联网获取的，而且联网的url信息是在初始化运行时，解密出来的。在GameScore当中，程序初始化了3个url信息，通过解密算法可以获取具体的url信息。

在com/gamescore/Ba当中程序会解密出应用访问的url信息：

小结

该木马是一类功能全面的捆绑包形式的远程指令控制木马，指令比较细微，不仅能窃取各方面的隐私，还可以实现窃听、更改铃声模式，以及发送短信、上传下载任意文件，将可能使用户手机面临更大的威胁。尤其以捆绑包的形式出现，无疑将会产生大批量的捆绑木马，安全前景不容乐观。

用户可以下载AVL移动安全团队AVL Pro对此木马进行查杀。