-
-
[原创]不好！耍流氓的盯上了双平台
-
发表于: 2015-11-16 15:09
-
伴随移动互联网的高速发展与智能手机的全面普及，各类移动应用百家争鸣的同时，也推动APP推广模式的不断发酵与推演。借推广应用之名“耍流氓“并以此牟取暴利的”流氓软件“层出不穷，严重影响用户的移动终端安全与正常用户体验。
近期，安天AVL移动安全团队发现，某移动应用推广平台存在使用Android恶意代码进行流氓推广的行为。同时，安天追影团队通过追影平台也发现在Windows平台上存在相关联的新威胁样本，该样本一旦被安装到PC端，会通过USB连接向手机静默推送与安装应用。【追影平台是安天实验室最新开发的一款用以应对APT（高级持续性威胁）攻击的设备级鉴定产品】
直接通过手机应用进行APP的恶意推广行为并不少见，而像这样利用双平台（Windows和Android）联动“作案”的现象则鲜有出现。对此，安天AVL移动安全团队进行了密切追踪和详细分析。
一、Windows平台恶意代码分析
1.样本概况
该样本是一个标准的PE程序，运行时无GUI界面，程序在后台运行时会联网下载Android手机USB连接PC时所需的驱动程序以及用来对Android应用程序进行安装的adb指令相关文件。
2.下载并安装其它组件
PE程序运行后，会在后台通过联网（http://222.186.*.*:1123/?action=getFileDL&files=deps.3）请求服务器返回其它组件的下载地址，并再次进行联网，下载相应的文件到PE程序的目录下。
文件下载完成后进行解压，并设置相应的隐藏属性，防止用户发现。
common32.zip和common64.zip分别是Windows 32位和64位操作系统下的Android USB驱动安装包，可用于adb相关命令的执行。当用户使用Android手机通过USB与PC连接时，该PE程序会根据用户的操作系统，选择32位或者64位的安装包，并尝试通过dpinst.exe进行安装，安装完成后，就可以通过adb命令和手机通讯。
3.PC存储推广应用
驱动包安装完成后，该PE程序会继续联网（http://222.186.*.*:2222/?api=giveApkList）访问服务器，获取服务器后台需要推送的app程序list，并解析list，根据list信息下载相应的apk文件。
下载的apk文件，会存储在PC本地的隐藏目录apps下。
4.通过USB推送到手机
在Windows平台上，可以通过adb命令和Android手机通讯。比如 adb install命令可以把windows平台上的apk文件安装到Android手机中。
PE程序在下载apk文件过程中会尝试启动adb命令当中的install指令，来对存放在本地的apk文件进行静默安装。
由于adb install命令并不需要用户确认，因此该PE程序可以在用户毫不知情的情况下把应用安装到用户手机上。
手机静默安装前：
手机静默安装后：可以看到后台下载的应用程序被静默安装到用户手机当中，安装的应用如下图所示：
对安装的应用进行简单分析发现：当前推送的应用程序以游戏应用为主，部分应用是无恶意性的，部分应用包含支付插件（以qyPay.a和WeimiPay.a家族为主）。
5.程序的自我更新
PE程序运行时，会通过访问服务器（http://222.186.*.*:2222/?api=giveVersion）来检测该程序是否有版本更新，若有，则获取下载地址进行新版本下载，替换旧版本，将旧版本后缀更改为old。
相关代码如下：
二、推送服务器的分析
1.推送服务器信息
对服务器的ip进行域名反查和whois查询，发现该IP归属地为江苏省镇江市，该IP与www.fa****.com域名对应。
2.推送应用抽查
通过我们内部系统对服务器域名（222.186.*.*）的传播数据进行检索，可以搜索到一些应用信息，其中部分样本被检出为newpaysdk76恶意家族。
newpaysdk76家族信息：运行时会联网上传用户手机固件信息，获取配置文件，私自发送注册短信、模拟点击登录远程服务器发送付费短信、拦截回执短信并自动回复，给用户带来经济损失。
部分推广的正常应用列表：
部分推送的newpaysdk76恶意家族应用列表：
三、Android平台恶意代码分析
1.Android样本概况
我们对照样本库，发现有2个与该IP域名有关的证书，这2个证书分别借用Google和Baidu之名进行伪装。
该证书下的应用会伪装成系统应用“设置”，并在安装后无图标，后台监听用户解锁屏幕、网络变化、手机启动等广播，来启动远程服务器推送的安全性未知的应用下载操作。
相关样本信息如下表所示：
我们以Hash为EF286E56900DFDE396C2BFC8AA69E2DB的样本为例进行分析：
该样本的包结构如下图所示：核心功能在com.baidu.phoenixo3.set.it包结构中实现，通过命名为com.baidu的包结构来隐藏自身。
2.详细分析
该程序安装后，后台监听用户解锁屏幕、网络变化、手机启动等广播，并自启动，启动后，联网上传手机imei、sim卡序列号等信息，解析返回的Json数据，获取要下载的url链接、应用包名等信息。若指定的包名应用尚未被安装，且手机是wifi连接的环境下，则会执行私自下载、安装的操作。成功安装后，将执行的该任务信息发送至远程服务器进行报告反馈。此外，我们发现该应用的后续版本中，做了一定程度的混淆处理，并添加了申请超级启用权限、静默安装的代码，使得行为更加隐蔽。
获取用户imei，sim卡相关信息，构造联网获取远程服务器推送信息的相关代码：
解析服务器返回信息，并进行二次联网下载推送应用的相关代码：
相同证书下的部分样本还会尝试获取超级用户权限，然后静默安装下载的应用：
3.猜想
由上文对相关推送服务器的分析可知，域名(www.fa****.com)与IP(222.186.*.*)具有对应关系。而在这类Android应用当中我们还发现NetworkAPI类中的代码，出现了和PE程序相同的远程服务器IP地址（端口有变化）。但是这部分代码并没有找到直接的调用关系，结合它的传播途径，我们猜测该类样本可能会被后台配置，从PC端推送到Android手机当中，打通从PC端到Android平台的推送流程。
样本的捕获源信息：
四、小结
通过分析可发现，该流氓应用推广行为，是同一服务器通过两个平台来进行。
Windows平台上，恶意代码在PC端执行adb命令，通过USB向Android手机静默推送安装应用；
Android平台上，携带恶意代码的应用一旦被安装，就会在后台静默下载并安装安全性未知的应用。
虽然该流氓应用推广行为是通过不同平台进行，但最终的目的都是向用户的Android手机中安装应用，推广大量应用以牟取利益。在如今Android平台应用泛滥，各类应用之间的竞争愈发激烈，本文所提的流氓应用推广行为，会在Android平台广告和流量的利益驱使下，越发猖狂。
AVL移动安全团队提醒您，请勿随意下载非官方来源的应用。同时，流氓推广行为还会通过Windows平台，进行PC和Android手机双平台的传播，因此，我们建议用户在保护手机的同时，也需要保持良好的电脑使用习惯。目前AVL Pro已经可以全面查杀该Android端流氓软件，有效保护您的手机安全。
AVL移动安全团队专注于移动互联网安全技术研究及反病毒引擎研发，提供强大的移动安全解决方案。欢迎关注我们的微信公众号AVLTeam，我们会定期发布移动安全相关资讯，希望能够对您有所帮助。转载请注明来源：http://blog.avlyun.com/?p=2481
关注AVL移动安全团队官方微信 获取更多安全资讯
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
