-
-
[原创]Android下载者分析
-
发表于: 2012-5-25 22:59 17841
-
一、 基本信息
样本大小:256139
样本md5:50836808a5fe7febb6ce8b2109d6c93a
样本sh256:ae7a20692250f85d7a2ed205994f2d26f2d695aef15a9356938454bccbbbd069
二、 简介
该样本是和需要root权限的合法软件打包在一起的,运行起来后会释放并加载两个包,当手机处于待机状态时,它会后台下载安装其他恶意的包
三、 样本分析
1、 AndroidManifest.xml分析
写文件权限:
很明显com.android.md5.Settings是病毒作者添加的服务用来启动恶意代码的:
2、 我们就从com.android.md5.Settings开始分析吧
看看其启动部分:
启动部分会调用Settings.1,Settings.1只有一个run函数,其会调用com.gamex.inset.A下面的函数 首先检查flag 判断sdcard是否已经挂载 是否有com.android.setting的包存在
如果已挂载 且没有com.android.setting的包存在 则设置flag为1
启动com.gamex.inset.C
不幸的是com.gamex.inset.C的run函数反编译出错,不知道各位大侠有没有什么好方法,对于我来说只有去读它对应的smali
对于smali我只贴关键点:
读取assets\logos.png
const-string v11, "logos.png" invoke-virtual {v10, v11}, Landroid/content/res/AssetManager;->open(Ljava/lang/String;)Ljava/io/InputStream;
aget-byte v10, v1, v5 xor-int/lit8 v10, v10, 0x12 int-to-byte v10, v10 aput-byte v10, v0, v5
invoke-static {v10}, Lcom/gamex/inset/C;->a(Ljava/lang/String;)V
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课
赞赏
- [原创]码海迷踪-简单linux64下小虚拟机 6580
- python八进制字符串的转化 8671
- 各位大牛 下面是什么解压缩算法 5423
- 各位大侠 下面是什么算法 3433
- [求助]求解啊 求解 4628