“伪万年历” Root Exploit恶意应用分析

2015年10月12日 12:57 5642

一，木马介绍

攻击者将木马制作成用户刚需应用，如色情类、生活服务类，或将恶意代码通过二次打包，注入到合法的应用当中，伪装成为合法应用，上传到android市场或某些论坛，诱导用户下载。一旦用户下载运行了此类应用，木马通过云端推送root 工具包，以及恶意应用；通过短信提取动态密码，第一时间发送给木马作者，直接造成财产损失、隐私泄露等；木马创建不死服务，后台root设备，成功root后将恶意应用植入系统分区，用户即使恢复出厂设置也无法完全卸载木马。具体执行过程如下图：

被感染应用以及恶意样本数量过千类，以下列出“万年历，清涩笑话，特实惠, 魅力女生动态桌面，开心乐消消-欢乐版，内涵壁纸，开心乐消消，全网充话费，极致腿模，好听音乐，HoloTorch，情趣内涵电台，Accurate Battery，Super Silent，心情天气”

二，样本行为分析

样本存在大量变种，以下对“伪万年历”样本进行行为分析。木马将恶意代码打包入正常应用。启动“伪

万年历”应用后，进入正常的日历界面，而应用的Application 类作为恶意代码入口点。

2.1监听短信彩信，获取动态验证码

提取短信中的动态密码，第一时间转发到指定号码并截断短信发送，这样用户将在不知情的情况下，大量账号被盗。拦截用户短信彩信，提取到的动态密码以及手机信息发送到云端服务器。直接造成财产损失，隐私泄露。

木马动态注册短信监听广播，通过类加载反射等技术进行具体的监控操作。当触发短信消息事件时,木马会动态加载myjar.jar，反射调用smscheck函数。

图动态注册广播监听短信消息

图动态加载dex,反射调用smscheck函数

对smscheck函数分析，发现若拦截到的短信中存在动态密码，病毒会第一时间发送给指定号码，同时会将动态密码，以及当前手机信息作为参数post提交到云端服务器。也就是木马作者通过用户手机号码找回密码，这样轻松的盗取用户账号密码，而中马用户完全不知晓。

接下来过滤短信发送者，将短信内容，发送者手机号码，以及手机imsi等发post到指定服务器：

图将拦截到短信发送到指定服务器

跟踪发现服务器目录，存放了中马手机信息以及root手机的工具：

2.2启动LocationService

a 监听广播，触发云端交互，下载root 工具包和推广的恶意应用

LocationService开启任务线程，在任务线程里动态注册广播，监听网络变化，屏幕唤醒锁屏，应用安装卸载更新等，监控广播做为病毒行为触发点。获取手机信息做为post参数，上传到云端服务器。
（android.net.conn.CONNECTIVITY_CHANGE，android.intent.action.USER_PRESENT，android.intent.action.SCREEN_OFF，android.intent.action.SCREEN_ON，android.intent.action.PACKAGE_ADDED，android.intent.action.PACKAGE_CHANGED， android.intent.action.PACKAGE_REPLACED，android.intent.action.PACKAGE_REMOVED）

以下是对病毒下载云端root 工具的分析：木马首先向服务器post手机的imei、imsi、分辨率、手机号等基本信息，服务器返回加密的url指令，解码url获取下载Root手机所需的busybox、su、install-recovery.sh等工具：

图post 手机信息到服务器(http://api.wangyan9488.com:8285/api/getShell.jsp),返回加密url

图服务器返回的加密url

木马本地解密url，获取到root 工具下载源（http://222.21x.xxx.7:8661/apk/rootsheel/1438654068044948.jar），下载到手机后改名为“shellv5.jar”，其实是一压缩包：

图shellv5.jar 里的文件 root 工具包

采用同样的过程下载root sdk，访问服务器http://api.wangyan9488.com:8287/api/getAttach.jsp，获取加密url

图加密root sdk url

木马解密url，获取下载源(http://222.21x.xxx.x:8661/apk/dlapp/14386539787043206.jar)下载jar文件，下载到手机后改名为“dlv5.jar”。通过动态加载该文件中的dex文件，同时利用之前下载的工具获取Root权限，随后将同名文件名的apk文件植入到/system/app/下并安装。该apk伪装成系统“下载服务”，而自身是与母样本伪万年历相同行为的木马。

b强制激活设备管理，防止卸载

利用设备管理器缺陷，在取消激活设备管理之前，DevicePolicyManagerService会调用应用的onDisableRequested方法获取取消激活的警示信息。下图可以发现病毒在发现取消激活时，会进行屏幕锁屏之后进入系统setting 页面，这样一旦用户激活设备将无法卸载。

图取消设备管理时屏幕锁屏

c 最后启动另外一个核心服务blueService

图启动BlueService服务

2.3 blueService服务

a 强制安装ANDROID_SCREEN_ON_OFF.apk应用

伪装成系统“下载管理”应用，同样通过post手机信息到云端服务器，get加密后的url，然后本地解密url获取下载推广的应用。同样的代码模块激活设备管理防止卸载。

b root 手机

下图为BlueService服务的任务线程，红色框动态注册RootReciver，当网络发生变化或手机锁屏唤醒时，在后台尝试root：

图blueService服务任务线程代码

检测14425728404326709.apk是否被安装，其实这是root之后安装到系统目录下的文件，root的最终目的就是将恶意应用植入system目录，伪装成系统应用，长期驻留用户设备。木马通过DexClassLoader加载云端配置的rootDex,随后反射调用getDex 函数进行root工作。下图动态加载dex,反射调用getDex：

图动态加载dex,反射调用getDex