-
-
[原创]色情应用暗藏杀机，宅男福利竟成“灾难降临”
-
发表于: 2016-8-31 20:22
-
通过伪装成“色情视频”“美女写真”等所谓宅男福利以进行恶意传播的现象，在PC端已司空见惯。 按理说用户对这类老套的手法早就有较强的防范意识，但据安天AVL移动安全团队和猎豹移动安全实验室最新捕获的一个病毒发现，这种手法虽然老套，但是恶意攻击效果之显著，令人咋舌。
近期，安天AVL移动安全团队和猎豹移动安全实验室捕获一款名为SexTrap的病毒，该病毒潜伏在色情应用中，一旦用户下载并安装该色情应用，灾难将降临至用户手机中。SexTrap病毒一旦运行，将立即加载恶意子包私自提权以获取Root权限，利用手机最高权限将下载的核心推送模块推送到系统目录下并锁定，使用户难以察觉和卸载；然后私自联网获取推送数据，进一步向用户手机系统目录推送包含恶意扣费模块的恶意应用，并通过远程控制指令启动运行此类应用，给用户造成极大经济损失。
哪个省份的用户最容易中招？
SexTrap病毒自6月捕获至今，在国内大部分地区广泛传播。截止目前各个省份的感染情况如下图所示。从图中可以看出，广东省是病毒感染人数最多的省份，山东省紧跟其后，随后是北京市、河北省以及河南省。
病毒详细分析
病毒运行流程
SexTrap病毒运行流程可以分为三个部分：
Part1：通过母体程序加载调用恶意子包
携带SexTrap病毒的母体程序运行时加载libMwzgrqfvuo.so（每个母体内的so文件名称不同，以此为例）文件，通过so文件调用资源文件中名为“xme.png”实为apk程序的恶意子包。该程序通过类加载器反射调用恶意子包中com.dex.kit.MainClass类的startAction方法来启动恶意子包。
Part2：私自对用户手机提权，联网下载核心推送模块
a)恶意子包启动时联网上传用户手机型号等信息获取Root方案和下载地址，下载相应的提权文件并解密，利用Android漏洞对用户手机进行提权。
b)联网获取下载SexTrap病毒核心推送模块的下载地址和指令信息。该恶意程序通过二次联网下载核心推送模块，并将其静默安装并推送到系统目录下，最后执行网络指令启动该模块。
c)恶意子包读取并解析母体程序资源文件夹中的mcg.bak文件，获取恶意程序的下载地址和启动指令，联网下载恶意程序然后将其推送到系统目录下并通过指令启动。该恶意应用同样具有推送的功能。
Part3：下载、安装、运行、推送应用
核心推送模块启动后会不断联网获取推送数据并下载推送的apk，同时利用Root权限将其推送到系统目录下，然后静默安装，最后通过网络指令使用将其启动，对用户造成极大的资费损耗。
1.加载调用恶意子包
SexTrap病毒运行时加载so文件，加载资源文件中的恶意子包，通过类加载器反射调用com.dex.kit.MainClass类的startAction方法来启动恶意子包。
so文件反射调用恶意子包。
2.私自获取Root权限
恶意子包运行时会上传用户的手机信息，根据手机信息下载多种 Root方案包括“858”、“778”、“611”、“841”、“52”，根据Root方案对应的提权文件对用户手机进行提权，提权成功后删除提权文件。
下载提权文件网络截图：
提权后释放的工具文件：
3.下载安装核心模块
恶意子包在本地解密并获取核心模块的下载地址，进行下载。
上图是获取核心模块下载地址的抓包截图。获取的数据主要包含字段“sd”：通过am启动KitService服务来远程启动核心模块、“dl”：核心模块下载地址、“pn”：核心模块包名。
静默安装核心模块并通过上面获取的网络指令启动，同时将其推送到系统目录中并锁定。
同时恶意子包还会读取母体程序资源文件mcg.bak，下载同类推送恶意程序。下载后的文件是一个zip文件，其中包含要安装的应用和启动指令。
cfg文件中保存着远程服务器控制安装应用和启动应用的指令。
恶意子包下载的文件都会保存SD卡隐藏目录.work中。
4.推送恶意扣费应用
SexTrap病毒核心模块运行时会持续联网获取推送数据并保存在本地/data/data/<packagename>/shared_prefs/i_app_info.xml文件中。同时该病毒会将下载的恶意应用保存在SD卡Android/data/cache/tmp目录中，这些恶意应用被安装运行后会被删除。
下图为部分联网推送的数据信息:
保存在i_app_info.xml中的推送数据具体字段说明如下：
推送色情类的扣费App。
总结
SexTrap病毒通过潜伏在色情应用中传播，方法较老套但是传播效果极佳。一方面，该病毒将恶意子包伪装成后缀为“.png”的文件，在安装完推广应用之后立即删除安装包文件，这一系列操作都是为了躲避杀软的查杀，隐蔽性极强。另一方面，该病毒为增加提权操作的成功率，会上传感染用户的设备信息，以获取针对性的Root方案和提权工具，攻击手段难以防范。从该病毒以及之前播报过的病毒可以看出，新出现的病毒大多隐蔽性极强，同时对Root的依赖性较高，安天AVL移动安全团队特此提醒广大用户尽量不要Root手机，一旦发现手机在不知情下被Root时，要警惕是否感染了病毒并立即安装杀毒软件对病毒进行查杀。
安全建议
针对SexTrap系列病毒，AVL Inside系列集成合作方产品和猎豹专杀工具已经实现全面查杀。安天AVL移动安全和猎豹移动安全实验室提醒您：
请使用绿色、健康的应用，并保持良好的上网习惯，不要在非官方网站或者不知名应用市场下载任何应用；
谨慎点击软件内推送的应用，不安装来源不清楚的应用；
不要轻易授权给不信任的软件Root权限；
如果您已经中了类似病毒，建议您使用Root工具将设备进行Root，使用杀毒软件及时查杀病毒。查杀完成后，如您不再使用Root，请务必使用Root工具取消Root，避免Root权限被滥用带来的设备安全问题。
安天AVL移动安全专注于移动互联网安全技术研究及反病毒引擎研发，为合作伙伴提供强大的移动安全解决方案。2014年，猎豹与安天AVL移动安全团队达成引擎战略合作。
AVL Inside以全球最佳移动反病毒引擎为核心，专注于为企业和厂商伙伴提供针对性的移动终端威胁防护解决方案，如病毒检测、金融安全防护、上网安全防护等安全能力输出。目前已与众多知名厂商达成战略合作，为猎豹、小米MIUI、阿里云YunOS、OPPO、努比亚、步步高、LBE、安卓清理大师、AMC等合作伙伴提供移动反恶意代码能力，为全球过亿终端用户保驾护航。
更多技术文章，请关注AVL Team官方微信号
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
