不好!耍流氓的盯上了双平台

By | 2015年11月12日

post by markseven

【前言】 伴随移动互联网的高速发展与智能手机的全面普及,各类移动应用百家争鸣的同时,也推动APP推广模式的不断发酵与推演。借推广应用之名“耍流氓“并以此牟取暴利的”流氓软件“层出不穷,严重影响用户的移动终端安全与正常用户体验。

近期,安天AVL移动安全团队发现,某移动应用推广平台存在使用Android恶意代码进行流氓推广的行为。同时,安天追影团队通过追影平台也发现在Windows平台上存在相关联的新威胁样本,该样本一旦被安装到PC端,会通过USB连接向手机静默推送与安装应用。【追影平台是安天实验室最新开发的一款用以应对APT(高级持续性威胁)攻击的设备级鉴定产品】

直接通过手机应用进行APP的恶意推广行为并不少见,而像这样利用双平台(Windows和Android)联动“作案”的现象则鲜有出现。对此,安天AVL移动安全团队进行了密切追踪和详细分析。

一、 Windows平台恶意代码分析

1.样本概况

表格1 该样本是一个标准的PE程序,运行时无GUI界面,程序在后台运行时会联网下载Android手机USB连接PC时所需的驱动程序以及用来对Android应用程序进行安装的adb指令相关文件。

2.下载并安装其它组件

PE程序运行后,会在后台通过联网(http://222.186.#.#:1123/?action=getFileDL&files=deps.3)请求服务器返回其它组件的下载地址,并再次进行联网,下载相应的文件到PE程序的目录下。

1

特殊表 文件下载完成后进行解压,并设置相应的隐藏属性,防止用户发现。

4

common32.zip和common64.zip分别是Windows 32位和64位操作系统下的Android USB驱动安装包,可用于adb相关命令的执行。当用户使用Android手机通过USB与PC连接时,该PE程序会根据用户的操作系统,选择32位或者64位的安装包,并尝试通过dpinst.exe进行安装,安装完成后,就可以通过adb命令和手机通讯。 5

3.PC存储推广应用

驱动包安装完成后,该PE程序会继续联网(http://222.186.#.#:2222/?api=giveApkList)访问服务器,获取服务器后台需要推送的app程序list,并解析list,根据list信息下载相应的apk文件。

6

7

下载的apk文件,会存储在PC本地的隐藏目录apps下。 8

4.通过USB推送到手机

在Windows平台上,可以通过adb命令和Android手机通讯。比如 adb install命令可以把windows平台上的apk文件安装到Android手机中。

PE程序在下载apk文件过程中会尝试启动adb命令当中的install指令,来对存放在本地的apk文件进行静默安装。

9

由于adb install命令并不需要用户确认,因此该PE程序可以在用户毫不知情的情况下把应用安装到用户手机上。 手机静默安装前:

10

手机静默安装后:可以看到后台下载的应用程序被静默安装到用户手机当中,安装的应用如下图所示:

11-12

对安装的应用进行简单分析发现:当前推送的应用程序以游戏应用为主,部分应用是无恶意性的,部分应用包含支付插件(以qyPay.a和WeimiPay.a家族为主)。

5.程序的自我更新

PE程序运行时,会通过访问服务器(http://222.186.#.#:2222/?api=giveVersion)来检测该程序是否有版本更新,若有,则获取下载地址进行新版本下载,替换旧版本,将旧版本后缀更改为old。

13 14

相关代码如下: 15

二、 推送服务器的分析

1.推送服务器信息

对服务器的ip进行域名反查和whois查询,发现该IP归属地为江苏省镇江市,该IP与www.fa****.com域名对应。

16 17 18 19

2.推送应用抽查

通过我们内部系统对服务器域名(222.186.#.#)的传播数据进行检索,可以搜索到一些应用信息,其中部分样本被检出为newpaysdk76恶意家族。

newpaysdk76家族信息:运行时会联网上传用户手机固件信息,获取配置文件,私自发送注册短信、模拟点击登录远程服务器发送付费短信、拦截回执短信并自动回复,给用户带来经济损失。

部分推广的正常应用列表: 表格2

部分推送的newpaysdk76恶意家族应用列表: 表格3

三、 Android平台恶意代码分析

1.Android样本概况

我们对照样本库,发现有2个与该IP域名有关的证书,这2个证书分别借用Google和Baidu之名进行伪装。

该证书下的应用会伪装成系统应用“设置”,并在安装后无图标,后台监听用户解锁屏幕、网络变化、手机启动等广播,来启动远程服务器推送的安全性未知的应用下载操作。

相关样本信息如下表所示: 表格4 我们以Hash为EF286E56900DFDE396C2BFC8AA69E2DB的样本为例进行分析: 该样本的包结构如下图所示:核心功能在com.baidu.phoenixo3.set.it包结构中实现,通过命名为com.baidu的包结构来隐藏自身。

20 21

2.详细分析

该程序安装后,后台监听用户解锁屏幕、网络变化、手机启动等广播,并自启动,启动后,联网上传手机imei、sim卡序列号等信息,解析返回的Json数据,获取要下载的url链接、应用包名等信息。若指定的包名应用尚未被安装,且手机是wifi连接的环境下,则会执行私自下载、安装的操作。成功安装后,将执行的该任务信息发送至远程服务器进行报告反馈。此外,我们发现该应用的后续版本中,做了一定程度的混淆处理,并添加了申请超级启用权限、静默安装的代码,使得行为更加隐蔽。

获取用户imei,sim卡相关信息,构造联网获取远程服务器推送信息的相关代码: 22 23

解析服务器返回信息,并进行二次联网下载推送应用的相关代码: 24

相同证书下的部分样本还会尝试获取超级用户权限,然后静默安装下载的应用: 25

3.猜想

由上文对相关推送服务器的分析可知,域名(www.fa****.com)与IP(222.186.#.#)具有对应关系。而在这类Android应用当中我们还发现NetworkAPI类中的代码,出现了和PE程序相同的远程服务器IP地址(端口有变化)。但是这部分代码并没有找到直接的调用关系,结合它的传播途径,我们猜测该类样本可能会被后台配置,从PC端推送到Android手机当中,打通从PC端到Android平台的推送流程。

26

样本的捕获源信息: 表格5

四、 小结

通过分析可发现,该流氓应用推广行为,是同一服务器通过两个平台来进行。 Windows平台上,恶意代码在PC端执行adb命令,通过USB向Android手机静默推送安装应用; Android平台上,携带恶意代码的应用一旦被安装,就会在后台静默下载并安装安全性未知的应用。

虽然该流氓应用推广行为是通过不同平台进行,但最终的目的都是向用户的Android手机中安装应用,推广大量应用以牟取利益。在如今Android平台应用泛滥,各类应用之间的竞争愈发激烈,本文所提的流氓应用推广行为,会在Android平台广告和流量的利益驱使下,越发猖狂。

AVL移动安全团队提醒您,请勿随意下载非官方来源的应用。同时,流氓推广行为还会通过Windows平台,进行PC和Android手机双平台的传播,因此,我们建议用户在保护手机的同时,也需要保持良好的电脑使用习惯。目前AVL Pro已经可以全面查杀该Android端流氓软件,有效保护您的手机安全。

AVL移动安全团队专注于移动互联网安全技术研究及反病毒引擎研发,提供强大的移动安全解决方案。欢迎关注我们的微信公众号AVLTeam,我们会定期发布移动安全相关资讯,希望能够对您有所帮助。 转载请注明来源:http://blog.avlyun.com/?p=2481

扫一扫关注AVLTeam官方微信,获取更多安全资讯: 微信二维码

One thought on “不好!耍流氓的盯上了双平台

发表评论

电子邮件地址不会被公开。 必填项已用*标注