AG公司云
紧迫通告：相册木马跟踪剖析
2015-05-08
5月4日晚，AG公司科技威胁响应中心监测到在安徽、浙江等区域泛起Android聚会相册蠕虫大规模撒播的情形，撒播速率较快，随即启动应急机制， 应急响应事情随即启动。
1 5日晨，合肥办接客户获取木反响，将相关信息提报总部，启动木马剖析事情。
2 5日，对木马样本深入剖析，并给出应对要领。
3 6日，宣布紧迫通告，并将剖析报告发送给客户及相助同伴。
4 7日，团结深入剖析，更新报告到2.0
木马信息
聚会相册早在2014年就一经泛起过，其时大多是病毒的形式，影响规模有限，在扫描效果中通�？梢钥吹�Android.Troj.Sms的标识信息。在2015年劳动节后，AG公司科技威胁响应中心监测到在在安徽、浙江等局部区域，该病毒有大规模撒播的趋势，且已经具备蠕虫的特征。该蠕虫撒播方法有如下几种：
? 通过熏染手机，搜索联系人，发送短信诱使被害人翻开恶意网站或者装置APK程序
? 通过熏染QQ，搜索联系人，发送链接诱使被害人装置应用程序
? 通过相册APP，进一步扩大发送规模
该蠕虫在撒播历程中，可能会发送如下信息：
? 你在干嘛?新年快乐，这是过年时间各人聚会的照片，好珍贵的留影，你快看看吧，地点:http://…
? 这是我们以前的照片你手机翻开看看 http://....
? 新年好!这是过年时间各人聚会的照片，好珍贵的留影，你快看看吧，地点：http://...
? 你竟然做出了这样的事!着实让人不可原谅!..../10086.apk;
? 看你干的好事 ，自己看吧…/SS.APK 打開证据都在内里呢;
? 有人悄悄在生日管家纪录了您的生日，点击相识http://...
? xxx这是之前的聚会照弄好了，各人的精彩瞬间。手机直接点击地点X装置激活审查…
危害水平
从手艺角度上来说，该木马具备简朴的反解密步伐，以逃避现有杀毒软件的查杀，从现在果真检测报告来看，现有各软件的检测及查杀效果较差[1]，从而对其自我撒播形成有利形势。从威胁态势上来看，该木马虽然现在撒播后，除消耗话费外并没有做出严重危害行动，但其代码中具备监听手机吸收到短信的功效，未来在其大规模熏染后，很容使用此功效举行网银、支付宝等金融犯法行动，其潜在的威胁水平较高。
剖析办法
病毒样本Apk解包
AG公司科技清静职员在获取到病毒样本后，第一时间举行相识包剖析，通过使用如下下令可完成 apk的解包
解包效果如下图所示：
解包后要害文件确定
随即对解包后的各个文件举行剖析。在android工程中，扫除掉编译时自动天生的文件，以及样天职析关系不大的文件，最终确定以下一些文件为病毒的要害文件：
1 ./res/values/strings.xml
2 ./smali/cn/cnn/mmc/eez/LogcatScannerService.smali
3 ./smali/cn/cnn/mmc/eez/LogcatScannerService$AndroidLogcatScannerThread.smali
4 ./smali/cn/cnn/mmc/eez/MainActivity.smali
5 ./smali/cn/cnn/mmc/eez/MainAPP.smali
6 ./smali/cn/cnn/mmc/eez/SmsReceiver.smali
7 ./AndroidManifest.xml
8 ./lib/armeabi/libAPKProtect.so
其中，
? smali类型的文件，为apk中经由java代码编写后天生的文件；
? Strings.xml为apk中的一些静态字符串变量；
? AndroidManifest.xml为apk开发历程中的设置文件；
? so文件为APP中通过C代码编写的文件。
要害文件逐步剖析
对病毒样本的各要害文件的剖析如下：
strings.xml
在这个文件中，除了有一个应用名称（聚会相册）外，没有发明有价值的提醒信息。
AndroidManifest.xml
这个设置文件中，声明晰apk需要的权限，以及一个短信吸收监听器(SmsReceiver)。
声明的权限有： 短信吸收、短信发送、写联系人、读联系人、读手机状态以及网络会见权限。
LogcatScannerService.smali
该文件代表LogcatScannerService类的声明及实现，在这个类中有4个成员要领，划分为：
Constructor
其中Constructor为结构函数，无需剖析。
handleLog要领
经剖析，这是一个处置惩罚自身类中的静态字符串解码的函数，通过该要领可以将该文件中的密文字符串解码，解码对好比下表所示：
|
文件中原密文 |
解码后 |
|
s13n8ezq563q7ffm7fet4uD36uztrcfGz8bXxjQ0Ro9DQs4u |
android.intent.action.DELETE |
|
Q0P06e779vY1QmGYz8z/ |
Uinstall |
进一步剖析代码结构，得知该代码和android系统的logcat有关，他会监听系统的android.intent.action.DELETE这个新闻，并在日志中打印Uinstall这个效果。
onBind要领
该函数没有什么特殊的操作，只是返回0值作为函数执行效果，如下图所示：
on
该函数会启动一个名为AndroidLogcatScannerThread的线程，如下图所示：
详细功效可参照本文以下章节。
AndroidLogcatScannerThread.smali
AndroidLogcatScannerThread为 LogcatScannerService类声明的一个内部类，有一个主要要领run函数的实现，同时它又有一同名函数 run(String)，这个函数同handlerLog函数相似，是一个用于解码本类中静态变量的函数，解码效果如下表所示：
|
文件中原密文 |
解码后 |
|
ozwkICI3QkXNIcLy |
logcat |
|
8zVtaWt+ODVeutZm |
logcat |
|
Q=UNEDIFCBEBWURG2d9GUjEw |
waitValue = |
在run的函数体内，做了两件事一个是读日志($ logcat)，另一个是其清空日志（$ logcat -c）
下图为挪用Runtime.exec(“logcat”).waitFor() 的代码片断：
经由更详尽的剖析，发明这个文件的代码和网上撒播的代码完全相同（除静态代码做了加密处置惩罚）。这是一段监听自身被卸载的代码，但从样天职细效果看，该代码除了昔日志里打了一个Uinstall的新闻外，无任何后续操作。
MainActivity.smali
这是该样本的焦点功效文件，其所对应的MainActivity这个类中有几个主要的要领:: onCreate、isInstallation、readContacts.
如下对各个要领举行详细剖析：
onCreate
由于这个类是窗口类，此时onCreate是继续自Activity的重写要领。在该要领中设置了一个WebView控件，应用翻开时看到的QQ空间界面就是通过这个WebView展示的，如下图所示：
在该类中还实现了一个on
sInstallation
该函数是一个判断运行情形的函数，和恶意功效关系不大。值得注重的是该类中还保存一个同名函数，如下图所示：
该函数同HandleLog相同，也是硬编码字符串解密的函数，本类中的几个字符串解码效果如下所示：
|
文件中原密文 |
解码后 |
|
Mz+ChZCdnZCFmJ6fQ0HXbGuJ |
Installation |
|
==E8Oy4jIy47JiAhMjiupr00NABi |
Installation |
|
U=1wd2Jvb2J3amxtREOjXLBO2jSm |
Installation |
|
Q=6/pbCypY64tfHs8UFBpZfETzsr |
contact_id = |
|
M0O2o/M5QsBjkVpq |
data1 |
|
==21ur2q4kIxLqyDMwtq |
number: |
|
s1bSn8PIn+Lhn+vYlcblnPLrnO/ Oner8nsD8nsL6nsDhnsHfn/P3ne D+nNPbnfP9lcb2nObzndPAktTKn 8Ttnebxnebxn+nclcb2n/n1nfP9 n+bKn+f6Wg5UGRRVKDtLIDgoSTU ziSSEznn+ |
在干嘛呢？我整理了一些以前的橡片，有空记得看看哦，像片地点 t.cn/RA1ZBR3 |
readContacts
这是和本样本撒播有关的代码，它的焦点功效有两项，遍历本机联系人及发送短信：
? 就是遍历本机联系人（通讯录）：
? 
? 然后划分给他们发特定内容的短信（好比，在干嘛呢….）：
? 
MainAPP.smali
这是挪用反调试库的类，代码就是加载libAPKProtect.so文件，没有其他功效，如下图所示：
SmsReceiver.smali
该类是一个恶意的收发短信的代码。
在这个类中有一些硬编码的字符串是加密的，解密比照表如下所示：
|
解密前 |
解密后 |
|
oziClImPgsiWlImQj4KDlMiyg4qDlo6JiJ/ Itau1ubSjpaOvsKOiNESMZnh4 |
android.provider.Telephony.SMS_RECEIVED |
|
AztJAFtFAnlBDGNOC1h+NELe06A3 |
短信来自： |
|
8zPxuOP9udrZufLls+DGQzN6y6u8 |
短信内容： |
|
I1OTk8enp8eOjsqiotCHh9CZmTUxqJC6q3k5 |
yyyy-MM-dd HH:mm:ss |
|
01PFxsTGxsvDwcDLwjVBxLJoQEws |
1065755802381 |
|
c1heXV9dXVBYWltQWUNGbqNQlHWV |
1065755802381 |
|
k1BWVVdVVVhQUlNYUUM3syCNlnUV |
1065755802381 |
在该类中实现了一个onReceive函数，这个函数有一个恶意发短信的功效，逻辑如下：
当被熏染机械收到新短信时，会凭证一个新名堂来组织短信内容，并发到1065755802381这个号码。
其中短信的组织名堂为”短信来自：xxxxxxxxx 短信内容：xxxxxxxxxxx
libAPKProtect.so
这个库文件是经由C语言编写完成的，JNI_on
剖析效果汇总
从如上剖析中可以看到，这个蠕虫由于使用了地点举行信息分发，其诱惑性及乐成几率极高，并且在撒播历程中由于群发短信，将会对受害者爆发特另外手机话费消耗，详细效果如下：
病毒事情流程
? 搜索电话号码本的每个号码，并向其发送短信。
? 短信内容为：“在干嘛呢？我整理了一些以前的橡片，有空记得看看哦，像片地点 t.cn/RA1ZBR3”
? 当短信吸收者收到这条短信，并翻开谁人短地点后，会继续下载到新的apk程序，并在被装置机械上继续执行办法1、2的流程。
? 在被熏染机上监听吸收短信的状态，当收到新短信时会向1065755802381这个号码转发这条短信内容。从百度搜索效果看，1065xx这个号码可能是一个腾讯放弃的服务号码，这里没有联系腾讯的员工做进一步确认，测试者向其发送短信也很少发送乐成。
病毒主要特点
? 通过社交网络（电话本）以及联系人世的信托水平（信托发信人随后翻开信息中的链接）举行撒播。
? 后台自动发送短信，消耗被装置机械的话费余额。
? 在样本中发明其保存监听手机短信的功效。虽1065755802381这个号码可能已被放弃（测试者向其发送短信无法发送乐成），但仍应思量其保存窃取短信的可能，如发明被该样本熏染的机械应当注重短信被窃取的危害。
病毒对抗剖析
由于要逃避查杀，该蠕虫在对抗剖析上做了许多的事情。
? 程序中的特征字符串均已加密，要经由动态解密才华还原。
? 样本中附带so文件，以ptrace方法还原程序自身的部分程序片断，抵达对抗剖析和反调试的效果。
? 程序运行中会执行 logcat –c 这个下令，来扫除自身运行历程中爆发的日志，令自身禁止易被察觉。
? 在测试机中，运行一次后程序图标就会自动消逝，但程序自己并未消逝。需要手动卸载才华扫除。
紧迫应对要领
终端用户可以在系统设置中卸载它
在android手机的系统设置中，依次点击：应用程序?治理应用程序?聚会相册，来选定蠕虫文件，随后在新的窗口中点击卸载按钮，并确认，即可扫除。如下图所示：
建议各杀毒软件厂商尽快给出查杀步伐
建议各杀毒厂商尽快团结如上剖析，更新查杀机制or病毒特征码，以便尽快实现该病毒的查杀，进而争取在其大规模撒播之前控制住这个态势。
建议运营商可以通过短信的形式发送告警
在之前类似的案例中，各运营商可以接纳短信的形式向用户直接发送告警短信，将病毒泛起的特征诠释清晰，效果照旧不错的。同时，运营商可以接纳步伐阻挡病毒短信，周全封堵下载地点。
威胁情报
以后次相册木马蠕虫的撒播情形可以看到，无论其原理怎样，无论防护计划怎样实验，要害在于尽可能快的相识到误差信息及相关的情报，以便尽可能快的启动应急响应机制。这无论关于解决古板清静或者APT攻击来说都是主要的手段之一，威胁情报的获取及响应都体现了防御能力的建设水平，威胁情报服务系统至少包括了威胁监测及响应、数据剖析及整理、营业情报及交付、危害评估及咨询、清静托管及应用等各个方面，涉及研究、产品、服务、运营及营销的各个环节，AG公司科技通过研究、云端、产品、服务等立体的应急响应系统，向企业和组织实时提供威胁情报并一连举行后续服务，包管客户营业的顺畅运行。
若是您对我们提供的内容有任何疑问，或者需要相识更多的信息，可以随时通过在微博、微信中搜索AG公司科技联系AG公司，接待您的垂询！
