间谍件总结

By | 2014年6月16日

post by fish_yu

随着移动互联网技术的飞速发展,移动智能系统的逐步成熟,搭载着智能系统的手机、平板大量涌现,于是智能系统的重要组成部分App应用火了。无论您使用的是手机还是平板电脑,或者其他设备,面对如此海量的App,在安装和使用这些形形色色的App时是否想到过这样的事情,一些App背后偷偷地在窃取着您的个人敏感隐私!下面我们就来看看它们背后都做了哪些不可告人的秘密。

一、窃取,无处不在

1.1 盗取金融账号信息

2013是互联网金融开始爆发的一年,针对这块”肥肉”恶意应用自然不甘寂寞。

当点击招商银行登陆界面时,会跳转到SocketDemo这个activity。

应用进入到SocketDemo这个activity,用户输入账户、手机号和密码,点击send按钮,便会向”1891128940″号码发送以上信息,从而盗取用户账号及密码。

同时也发现有伪装成支付宝,工商银行,建设银行,交通银行等登录界面,几乎可以假乱真,实则后台获取账号密码等敏感信息并通过短信发送。

 

以获取支付宝密码为例,分别获取支付宝账号,密码及支付密码并以#号连接,之后base64加密再短信形式发送。

不仅仅是国内,国外的银行盗号也很严重。

其中 Santander是一个西班牙银行的名称,Clave de firma是西班牙语,翻译后为:签名密钥。这个样本的主要行为就是:

伪装成银行的在线口令生成器,诱骗用户在Clave de firma下的控件内输入自己的银行密码,并随机生成虚假的口令(mToken)显示给用户。这时用户的银行密码通过短信和网络的形式被泄露,并且在之后配合样本,截取到银行发送给用户的手机验证码,攻击者可以在用户完全不知情的情况下窃取用户的银行财富。

1.2 盗取聊天应用消息记录

“听风者”现实中的监听,该应用运行界面及网站功能说明,此软件还有一个登录后台可查看聊天记录

国外间谍应用的功能更是有过之而无不及。

其中左图为该程序运行后的界面,右图为后台查看的一些社交或聊天应用的消息。

如获取whatsapp消息记录

加强安全意识,增加安全防范,不要让无形的”听风者”让你成为某某门的主角哦。

1.3 盗取更多隐私

获取短信记录,如敏感的支付宝或银行相关信息

468

获取通话录音、SMS信息、定位信息、环境录音

469

获取手机通话记录

470

获取SD卡文件列表。

474

获取联系人信息

没有想不到,只有做不到,一旦中招,就没有隐私可言了。知己知彼,接下来我们总结下这些间谍件的常用行为流程及功能,不要让自己成为”肉鸡”。

二、控制方式

2.1 短信指令控制

家族:MguSpy.a

说明:该程序运行后进行短信监听,接收远程短信指令控制。

2.2 网络指令控制

家族:Lien.d

说明:连接恶意远程服务器,接收服务器指令控制

2.3 google云推送

家族:Tramp.a

说明:其实该控制方式也属于网络的一种,只有不是直接由恶意远程服务器控制,而由google云服务器进行指令发送,具有一定隐蔽性。

注册google GCM监听广播

根据指令执行相关操作。

三、隐私回传方式

3.1 短信方式回传

家族:Lurker.a

说明:短信回传操作简单,实用(只要手机还有话费即可)。一般个人开发的程序采用此种方式,当然也有程序通过短信发送回执信息,如指令招行成功与否。

发送短信记录

发送通话记录

3.2 网络方式回传

家族:VladoSpy.a

说明:一般通过网络回传的间谍件,都有一个功能强大的后台管理系统,进行统一查看或管理。该类间谍件一般功能强大,大都是要收费的。

获取设备信息

短信记录

475

3.3 邮箱方式回传

家族:Dd1d.e

说明:通过邮箱发送用户相关信息或程序安装状态等。

通过163邮箱进行发送

471

已发送邮件

472

四、常见功能

典型功能:短信记录,通话记录,联系人等。

4.1 获取短信记录

访问短信常见协议

4.2 获取通话记录

常用uri: CallLog.Calls.CONTENT_URI;

4.3 获取联系人信息

获取联系人uri: android.provider.ContactsContract.CommonDataKinds.Phone.CONTENT_URI, android.provider.Contacts.People.CONTENT_URI

4.4 通话录音

常见的有通话或环境录音

4.5 拍照

拍摄照片

五、借我一双慧眼–识别间谍应用

5.1 无图标或隐藏图标

无activity,安装无图标,仅有广播和服务。

首次安装有图标,但下次运行会隐藏图标的。

一般通过setComponentEnabledSetting API进行隐藏图标。

5.2 激活设备管理器

AM注册有激设备管理器,而又无图标或隐藏图标的。

5.3 短信监听

会监听短信,有拦截行为,同时会对短信内容进行判断的,如*,#开头的,等不同于一般用户发短信习惯的。

5.4 大量可疑权限

短信,联系人,定位等大量可疑权限,同时包名又比较可疑的。

一般来说同时拥有以下三种或以上权限很可疑。

权限

说明

android.permission.SEND_SMS

发短信权限

android.permission.READ_CONTACTS

读取联系人权限

android.permission.ACCESS_FINE_LOCATION

精确定位权限

android.permission.RECORD_AUDIO

录音权限

android.permission.CAMERA

拍照权限

5.5 邮件发送

有邮件发送代码同时有大量可疑权限及服务。

5.6 包名伪装系统服务

包名和程序名伪装系统服务或应用。

5.7 大量字串比较

字串比较一般用于指令的匹配。

如:startsWith

如:equals

5.8 字串表关键字

直接搜索字串表,看到很多敏感关键字的。

中文:指令,开启录音,通话,上传

英文:uploadgps,uploadrecord

其实明显指令提示信息。

5.9 通话监听

监听拨打电话并对号码进行判断的,所拨打号码一般包含*,#等,不是用户常规拨打号码。

5.10 服务过多,activity较少。

5.11 查看包结构

间谍件一般目地性较强,组织结构较清晰,若包名中包含:call,contact,gps,record,server,task等较为可疑。

六、小结

间谍类程序功能强大,一旦中招,个人将再无隐私可言,危害极大。同时还具有隐蔽性强(安装无图标,仅启动服务),不易清除(激活设备管理器,防卸载)等特点。针对此类间谍应用,安天安全专家建议,养成安全意识,从知名站点下载应用,未运行此软件用户可直接清除。

同时可以下载AVL移动安全团队AVL Pro对恶意应用进行查杀。

发表评论

电子邮件地址不会被公开。 必填项已用*标注