首页
社区
课程
招聘
[原创]Android下载者分析
发表于: 2012-5-25 22:59 17840

[原创]Android下载者分析

2012-5-25 22:59
17840

一、  基本信息                                                                                               
样本大小:256139
样本md5:50836808a5fe7febb6ce8b2109d6c93a
样本sh256:ae7a20692250f85d7a2ed205994f2d26f2d695aef15a9356938454bccbbbd069

二、  简介
该样本是和需要root权限的合法软件打包在一起的,运行起来后会释放并加载两个包,当手机处于待机状态时,它会后台下载安装其他恶意的包

三、  样本分析
1、  AndroidManifest.xml分析
写文件权限:


很明显com.android.md5.Settings是病毒作者添加的服务用来启动恶意代码的:


2、  我们就从com.android.md5.Settings开始分析吧
看看其启动部分:


启动部分会调用Settings.1,Settings.1只有一个run函数,其会调用com.gamex.inset.A下面的函数 首先检查flag 判断sdcard是否已经挂载 是否有com.android.setting的包存在
如果已挂载 且没有com.android.setting的包存在 则设置flag为1 
启动com.gamex.inset.C


不幸的是com.gamex.inset.C的run函数反编译出错,不知道各位大侠有没有什么好方法,对于我来说只有去读它对应的smali


对于smali我只贴关键点:
读取assets\logos.png

const-string v11, "logos.png"

invoke-virtual {v10, v11}, Landroid/content/res/AssetManager;->open(Ljava/lang/String;)Ljava/io/InputStream;
    aget-byte v10, v1, v5

    xor-int/lit8 v10, v10, 0x12

    int-to-byte v10, v10

    aput-byte v10, v0, v5
invoke-static {v10}, Lcom/gamex/inset/C;->a(Ljava/lang/String;)V

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

上传的附件:
收藏
免费 6
支持
分享
最新回复 (10)
雪    币: 2307
活跃值: (1013)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
2
不太明白,是神奇的巧合还是其它原因...
2012-5-26 00:36
0
雪    币: 1024
活跃值: (240)
能力值: ( LV12,RANK:310 )
在线值:
发帖
回帖
粉丝
3
什么意思?123456
2012-5-28 11:32
0
雪    币: 210
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
好贴
2012-5-30 18:28
0
雪    币: 204
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
将解密后的文件写到/system/app/ComAndroidSetting.apk
进行加载

他在加载时,会出现包管理器的权限提示吗?还是默默就安装了?
2012-9-7 16:21
0
雪    币: 1024
活跃值: (240)
能力值: ( LV12,RANK:310 )
在线值:
发帖
回帖
粉丝
6
不会 因为这个病毒是和需要root权限的合法软件捆绑在一起的
2013-1-8 20:00
0
雪    币: 761
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
把网址还原的过程很模糊, 但是思路很精彩!  让我越来越想掌握python了!
我的工作也是分析安卓样本的病毒行为, 同时写分析报告, 不过每次在复杂一点的网址复原处卡壳, 每次都很残忍地忽略了这块... 现在看来,不能骗自己了!

很好的文章!
2013-1-16 16:55
0
雪    币: 16
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
thks for share. 没分析过andriod平台的,看起来应该是在ECLIPSE下面的源码啊。。JAVA语言应该是。。
2013-3-13 17:46
0
雪    币: 406
活跃值: (164)
能力值: ( LV12,RANK:250 )
在线值:
发帖
回帖
粉丝
9
感谢分享。没有分析过android 平台下的病毒,学习了。
2013-3-13 23:10
0
雪    币: 19
活跃值: (31)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
有样本吗?能否共享
2018-6-2 23:07
0
雪    币: 7
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
很厉害的样子
2018-6-26 08:55
0
游客
登录 | 注册 方可回帖
返回
//