安天移动安全发布恶意广告软件RottenSys深度分析报告

By | 2018年3月19日

一、事件背景

  2018年3月14日,国外安全厂商Checkpoint发布报告,声称自2016年来近500万手机设备感染了名为RottenSys的恶意代码,并且指出包括华为、OPPO、vivo、魅族、金立等在内的国产手机设备被感染。随后国内科技媒体进行也了广泛的翻译和转载。鉴于此,安天移动安全进行了深入的分析。

二、样本基本信息

  典型样本信息如下:

  恶意行为描述:

  该程序包含风险代码,可在后台私自下载恶意插件并静默安装,进行远程控制命令以及对用户手机进行root,从而频繁推送广告并进行应用分发。消耗用户流量资费,影响用户体验。

三、详细分析

  安天移动安全分析得出,该恶意软件家族进行了明显的技术升级,进行了较强的技术对抗。攻击手段主要分两个阶段:第一阶段只是单纯的私自下载恶意广告插件,推送广告;第二阶段植入了提权功能,可加载提权代码、获取root权限、执行lua脚本,形成僵尸网络,同时还抹去了文件生成时间和进行文件拆分,以防止分析人员进行深入关联。

  攻击流程示意图如下:

  恶意代码文件结构如下图所示:

  获取root方案的地址为www.uuyttrtf.com:880 ,注册证邮箱为haitaozhou15@gmail.com,注册时间为2016年7月(这与安天移动安全捕获和查杀该样本的时间保持一致)。恶意代码上传设备信息获取root方案之后,将不断进行尝试,一旦获取root权限,则继续从该网址获取lua脚本,并且进行执行,生成僵尸网络,以及根据指令进行下一步的恶意行为。此外,我们进行了深度关联分析,得到其家族部分CC如下:

  从中我们可以看到该恶意代码的工作准备从2016年初就开始进行,到2016年9月,整个黑色产业团伙处于尝试阶段,仅进行域名注册、恶意代码植入等前期准备工作,并没有大规模的进行恶意攻击,此后开始逐步感染并形成了两次感染高峰。具体事件时间轴如下图所示。

四、安天解读

  该恶意软件家族整体生存周期较长,自2016年1月,其背后的黑产团伙便开始注册域名并准备相应的攻击活动。从数据上来看,该恶意软件家族累积感染量达到百万级别,受害面较广。不过,以安天移动安全为代表的安全厂商在病毒出现初期就已具备检测能力,并且安天移动安全已与国内主流手机厂商在移动终端病毒检测与防护方面进行合作,国内主流手机厂商均具备对该恶意软件的检测和防护能力。

  同时该恶意软件家族活跃和对抗周期较长,所谓的“感染500万”台设备并不是在短期完成的,其时间跨度接近两年,通过安天移动安全的终端监控情况来看,总体的设备感染量级达到百万级别。同时我们在手机出厂ROM和应用市场渠道中并未发现大规模感染数据,这说明主要问题出现在手机销售流通环节。

  渠道中的刷机和非法预装是智能手机行业面临的较大挑战,各大手机厂商及安全公司综合运营技术、管理、法律等手段加强对渠道的管理,并且在2017年,泰尔实验室、OEM厂商、安全厂商等联合成立移动安全联盟(MSA),以联合各方力量,加强移动终端安全,共同保护消费者权益。

  最后,我们在此希望海外相关安全机构能够更加公正、客观、严谨地描述中国移动产业的安全状况,切勿夸大事实,造成消费者恐慌。

企业简介

  武汉安天信息技术有限责任公司成立于2010年,是专注于移动互联网安全技术与安全产品研发的高科技企业。公司在上海、成都和美国硅谷设有技术研发分支机构,是全球顶级移动安全方案提供商。   

  2014年,公司自主研发的移动反病毒引擎产品,以全年最高平均检出率荣获AV-TEST全球“移动设备最佳防护”奖,成为首获此项国际大奖的亚洲安全厂商,实现了中国安全厂商在全球顶级安全测评领域重量级奖项零的突破。   

  2015年,在国际知名安全软件测评机构AV-C的年度移动安全产品测评中,公司的AVL移动反病毒引擎产品凭借全年100%的病毒检测率,成为2015年排名第一的安全产品。   

  公司凭借突出的技术研发能力、数据捕获能力和应急响应能力,长期为国家互联网应急中心、泰尔终端实验室等国家监管部门提供强有力的移动互联网安全支撑,目前已成为国内移动安全响应体系的重要企业节点;并与国内外主流芯片厂商、移动终端厂商、移动应用厂商建立了长期战略合作关系,为全球超过10亿终端用户保驾护航。   

  更多信息详见公司官网:http://www.avlsec.com   

  转载请注明来源:http://blog.avlsec.com/?p=5154

更多技术文章,请关注AVL Team官方微信号

发表评论

电子邮件地址不会被公开。 必填项已用*标注