-
-
[原创]IOS恶意APP简单分析
-
2014-3-24 19:18
-
今天看了下自己手机的/Library/MobileSubstrate/DynamicLibraries/，发现有一个不知道做什么的dylib，名字是spad.dylib, 看上去就很可疑，拉回本地一分析，竟然真的是恶意软件，软件使用MobileSubstrate的框架注入所有有引入com.apple.UIKit的app，然后在app里面寻找第三方广告SDK的类，把广告里面的id修改成恶意软件作者的，这样你使用包含广告的app看广告的时候，钱并没有付给app开发者，而是跑到恶意软件作者的账号里面了。
Hook代码很简单，截几个图吧
Hook YOUMI的广告窗口
替换YOUMI的广告用户ID
Hook其他的，后面还有很多，都是做一样的事情，不一一截图了
样本
IOS_SPAD_样本.zip
分析的很不仔细，朋友们的提醒下补上几个文件
spad_others.zip
/var/sad/sad.adm这个我在设备上没找到，简单看了下代码，逻辑应该是如果存在这个文件，就使用这个文件里的广告id，如果没有就使用默认的
Hook代码很简单，截几个图吧
Hook YOUMI的广告窗口
替换YOUMI的广告用户ID
Hook其他的，后面还有很多，都是做一样的事情，不一一截图了
样本
IOS_SPAD_样本.zip
分析的很不仔细，朋友们的提醒下补上几个文件
spad_others.zip
/var/sad/sad.adm这个我在设备上没找到，简单看了下代码，逻辑应该是如果存在这个文件，就使用这个文件里的广告id，如果没有就使用默认的
[培训]内核驱动高级班，冲击BAT一流互联网大厂工 作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
钱赚了不少吧
|
|
|
|
|
|
|
