九游老哥云
紧迫通告：相册木马跟踪剖析
2015-05-08
5月4日晚 ，九游老哥科技威胁响应中心监测到在安徽、浙江等区域泛起Android聚会相册蠕虫大规模撒播的情形 ，撒播速率较快 ，随即启动应急机制 ， 应急响应事情随即启动。
1 5日晨 ，合肥办接客户获取木反响 ，将相关信息提报总部 ，启动木马剖析事情。
2 5日 ，对木马样本深入剖析 ，并给出应对要领。
3 6日 ，宣布紧迫通告 ，并将剖析报告发送给客户及相助同伴。
4 7日 ，团结深入剖析 ，更新报告到2.0
木马信息
聚会相册早在2014年就一经泛起过 ，其时大多是病毒的形式 ，影响规模有限 ，在扫描效果中通�？梢钥吹�Android.Troj.Sms的标识信息。在2015年劳动节后 ，九游老哥科技威胁响应中心监测到在在安徽、浙江等局部区域 ，该病毒有大规模撒播的趋势 ，且已经具备蠕虫的特征。该蠕虫撒播方法有如下几种：
? 通过熏染手机 ，搜索联系人 ，发送短信诱使被害人翻开恶意网站或者装置APK程序
? 通过熏染QQ ，搜索联系人 ，发送链接诱使被害人装置应用程序
? 通过相册APP ，进一步扩大发送规模
该蠕虫在撒播历程中 ，可能会发送如下信息：
? 你在干嘛?新年快乐 ，这是过年时间各人聚会的照片 ，好珍贵的留影 ，你快看看吧 ，地点:http://…
? 这是我们以前的照片你手机翻开看看 http://....
? 新年好!这是过年时间各人聚会的照片 ，好珍贵的留影 ，你快看看吧 ，地点：http://...
? 你竟然做出了这样的事!着实让人不可原谅!..../10086.apk;
? 看你干的好事 ，自己看吧…/SS.APK 打開证据都在内里呢;
? 有人悄悄在生日管家纪录了您的生日 ，点击相识http://...
? xxx这是之前的聚会照弄好了 ，各人的精彩瞬间。手机直接点击地点X装置激活审查…
危害水平
从手艺角度上来说 ，该木马具备简朴的反解密步伐 ，以逃避现有杀毒软件的查杀 ，从现在果真检测报告来看 ，现有各软件的检测及查杀效果较差[1] ，从而对其自我撒播形成有利形势。从威胁态势上来看 ，该木马虽然现在撒播后 ，除消耗话费外并没有做出严重危害行动 ，但其代码中具备监听手机吸收到短信的功效 ，未来在其大规模熏染后 ，很容使用此功效举行网银、支付宝等金融犯法行动 ，其潜在的威胁水平较高。
剖析办法
病毒样本Apk解包
九游老哥科技清静职员在获取到病毒样本后 ，第一时间举行相识包剖析 ，通过使用如下下令可完成 apk的解包
解包效果如下图所示：
解包后要害文件确定
随即对解包后的各个文件举行剖析。在android工程中 ，扫除掉编译时自动天生的文件 ，以及样天职析关系不大的文件 ，最终确定以下一些文件为病毒的要害文件：
1 ./res/values/strings.xml
2 ./smali/cn/cnn/mmc/eez/LogcatScannerService.smali
3 ./smali/cn/cnn/mmc/eez/LogcatScannerService$AndroidLogcatScannerThread.smali
4 ./smali/cn/cnn/mmc/eez/MainActivity.smali
5 ./smali/cn/cnn/mmc/eez/MainAPP.smali
6 ./smali/cn/cnn/mmc/eez/SmsReceiver.smali
7 ./AndroidManifest.xml
8 ./lib/armeabi/libAPKProtect.so
其中 ，
? smali类型的文件 ，为apk中经由java代码编写后天生的文件；
? Strings.xml为apk中的一些静态字符串变量；
? AndroidManifest.xml为apk开发历程中的设置文件；
? so文件为APP中通过C代码编写的文件。
要害文件逐步剖析
对病毒样本的各要害文件的剖析如下：
strings.xml
在这个文件中 ，除了有一个应用名称（聚会相册）外 ，没有发明有价值的提醒信息。
AndroidManifest.xml
这个设置文件中 ，声明晰apk需要的权限 ，以及一个短信吸收监听器(SmsReceiver)。
声明的权限有： 短信吸收、短信发送、写联系人、读联系人、读手机状态以及网络会见权限。
LogcatScannerService.smali
该文件代表LogcatScannerService类的声明及实现 ，在这个类中有4个成员要领 ，划分为：
Constructor
其中Constructor为结构函数 ，无需剖析。
handleLog要领
经剖析 ，这是一个处置惩罚自身类中的静态字符串解码的函数 ，通过该要领可以将该文件中的密文字符串解码 ，解码对好比下表所示：
|
文件中原密文 |
解码后 |
|
s13n8ezq563q7ffm7fet4uD36uztrcfGz8bXxjQ0Ro9DQs4u |
android.intent.action.DELETE |
|
Q0P06e779vY1QmGYz8z/ |
Uinstall |
进一步剖析代码结构 ，得知该代码和android系统的logcat有关 ，他会监听系统的android.intent.action.DELETE这个新闻 ，并在日志中打印Uinstall这个效果。
onBind要领
该函数没有什么特殊的操作 ，只是返回0值作为函数执行效果 ，如下图所示：
on
该函数会启动一个名为AndroidLogcatScannerThread的线程 ，如下图所示：
详细功效可参照本文以下章节。
AndroidLogcatScannerThread.smali
AndroidLogcatScannerThread为 LogcatScannerService类声明的一个内部类 ，有一个主要要领run函数的实现 ，同时它又有一同名函数 run(String) ，这个函数同handlerLog函数相似 ，是一个用于解码本类中静态变量的函数 ，解码效果如下表所示：
|
文件中原密文 |
解码后 |
|
ozwkICI3QkXNIcLy |
logcat |
|
8zVtaWt+ODVeutZm |
logcat |
|
Q=UNEDIFCBEBWURG2d9GUjEw |
waitValue = |
在run的函数体内 ，做了两件事一个是读日志($ logcat) ，另一个是其清空日志（$ logcat -c）
下图为挪用Runtime.exec(“logcat”).waitFor() 的代码片断：
经由更详尽的剖析 ，发明这个文件的代码和网上撒播的代码完全相同（除静态代码做了加密处置惩罚）。这是一段监听自身被卸载的代码 ，但从样天职细效果看 ，该代码除了昔日志里打了一个Uinstall的新闻外 ，无任何后续操作。
MainActivity.smali
这是该样本的焦点功效文件 ，其所对应的MainActivity这个类中有几个主要的要领:: onCreate、isInstallation、readContacts.
如下对各个要领举行详细剖析：
onCreate
由于这个类是窗口类 ，此时onCreate是继续自Activity的重写要领。在该要领中设置了一个WebView控件 ，应用翻开时看到的QQ空间界面就是通过这个WebView展示的 ，如下图所示：
在该类中还实现了一个on
sInstallation
该函数是一个判断运行情形的函数 ，和恶意功效关系不大。值得注重的是该类中还保存一个同名函数 ，如下图所示：
该函数同HandleLog相同 ，也是硬编码字符串解密的函数 ，本类中的几个字符串解码效果如下所示：
|
文件中原密文 |
解码后 |
|
Mz+ChZCdnZCFmJ6fQ0HXbGuJ |
Installation |
|
==E8Oy4jIy47JiAhMjiupr00NABi |
Installation |
|
U=1wd2Jvb2J3amxtREOjXLBO2jSm |
Installation |
|
Q=6/pbCypY64tfHs8UFBpZfETzsr |
contact_id = |
|
M0O2o/M5QsBjkVpq |
data1 |
|
==21ur2q4kIxLqyDMwtq |
number: |
|
s1bSn8PIn+Lhn+vYlcblnPLrnO/ Oner8nsD8nsL6nsDhnsHfn/P3ne D+nNPbnfP9lcb2nObzndPAktTKn 8Ttnebxnebxn+nclcb2n/n1nfP9 n+bKn+f6Wg5UGRRVKDtLIDgoSTU ziSSEznn+ |
在干嘛呢？我整理了一些以前的橡片 ，有空记得看看哦 ，像片地点 t.cn/RA1ZBR3 |
readContacts
这是和本样本撒播有关的代码 ，它的焦点功效有两项 ，遍历本机联系人及发送短信：
? 就是遍历本机联系人（通讯录）：
? 
? 然后划分给他们发特定内容的短信（好比 ，在干嘛呢….）：
? 
MainAPP.smali
这是挪用反调试库的类 ，代码就是加载libAPKProtect.so文件 ，没有其他功效 ，如下图所示：
SmsReceiver.smali
该类是一个恶意的收发短信的代码。
在这个类中有一些硬编码的字符串是加密的 ，解密比照表如下所示：
|
解密前 |
解密后 |
|
oziClImPgsiWlImQj4KDlMiyg4qDlo6JiJ/ Itau1ubSjpaOvsKOiNESMZnh4 |
android.provider.Telephony.SMS_RECEIVED |
|
AztJAFtFAnlBDGNOC1h+NELe06A3 |
短信来自： |
|
8zPxuOP9udrZufLls+DGQzN6y6u8 |
短信内容： |
|
I1OTk8enp8eOjsqiotCHh9CZmTUxqJC6q3k5 |
yyyy-MM-dd HH:mm:ss |
|
01PFxsTGxsvDwcDLwjVBxLJoQEws |
1065755802381 |
|
c1heXV9dXVBYWltQWUNGbqNQlHWV |
1065755802381 |
|
k1BWVVdVVVhQUlNYUUM3syCNlnUV |
1065755802381 |
在该类中实现了一个onReceive函数 ，这个函数有一个恶意发短信的功效 ，逻辑如下：
当被熏染机械收到新短信时 ，会凭证一个新名堂来组织短信内容 ，并发到1065755802381这个号码。
其中短信的组织名堂为”短信来自：xxxxxxxxx 短信内容：xxxxxxxxxxx
libAPKProtect.so
这个库文件是经由C语言编写完成的 ，JNI_on
剖析效果汇总
从如上剖析中可以看到 ，这个蠕虫由于使用了地点举行信息分发 ，其诱惑性及乐成几率极高 ，并且在撒播历程中由于群发短信 ，将会对受害者爆发特另外手机话费消耗 ，详细效果如下：
病毒事情流程
? 搜索电话号码本的每个号码 ，并向其发送短信。
? 短信内容为：“在干嘛呢？我整理了一些以前的橡片 ，有空记得看看哦 ，像片地点 t.cn/RA1ZBR3”
? 当短信吸收者收到这条短信 ，并翻开谁人短地点后 ，会继续下载到新的apk程序 ，并在被装置机械上继续执行办法1、2的流程。
? 在被熏染机上监听吸收短信的状态 ，当收到新短信时会向1065755802381这个号码转发这条短信内容。从百度搜索效果看 ，1065xx这个号码可能是一个腾讯放弃的服务号码 ，这里没有联系腾讯的员工做进一步确认 ，测试者向其发送短信也很少发送乐成。
病毒主要特点
? 通过社交网络（电话本）以及联系人世的信托水平（信托发信人随后翻开信息中的链接）举行撒播。
? 后台自动发送短信 ，消耗被装置机械的话费余额。
? 在样本中发明其保存监听手机短信的功效。虽1065755802381这个号码可能已被放弃（测试者向其发送短信无法发送乐成） ，但仍应思量其保存窃取短信的可能 ，如发明被该样本熏染的机械应当注重短信被窃取的危害。
病毒对抗剖析
由于要逃避查杀 ，该蠕虫在对抗剖析上做了许多的事情。
? 程序中的特征字符串均已加密 ，要经由动态解密才华还原。
? 样本中附带so文件 ，以ptrace方法还原程序自身的部分程序片断 ，抵达对抗剖析和反调试的效果。
? 程序运行中会执行 logcat –c 这个下令 ，来扫除自身运行历程中爆发的日志 ，令自身禁止易被察觉。
? 在测试机中 ，运行一次后程序图标就会自动消逝 ，但程序自己并未消逝。需要手动卸载才华扫除。
紧迫应对要领
终端用户可以在系统设置中卸载它
在android手机的系统设置中 ，依次点击：应用程序?治理应用程序?聚会相册 ，来选定蠕虫文件 ，随后在新的窗口中点击卸载按钮 ，并确认 ，即可扫除。如下图所示：
建议各杀毒软件厂商尽快给出查杀步伐
建议各杀毒厂商尽快团结如上剖析 ，更新查杀机制or病毒特征码 ，以便尽快实现该病毒的查杀 ，进而争取在其大规模撒播之前控制住这个态势。
建议运营商可以通过短信的形式发送告警
在之前类似的案例中 ，各运营商可以接纳短信的形式向用户直接发送告警短信 ，将病毒泛起的特征诠释清晰 ，效果照旧不错的。同时 ，运营商可以接纳步伐阻挡病毒短信 ，周全封堵下载地点。
威胁情报
以后次相册木马蠕虫的撒播情形可以看到 ，无论其原理怎样 ，无论防护计划怎样实验 ，要害在于尽可能快的相识到误差信息及相关的情报 ，以便尽可能快的启动应急响应机制。这无论关于解决古板清静或者APT攻击来说都是主要的手段之一 ，威胁情报的获取及响应都体现了防御能力的建设水平 ，威胁情报服务系统至少包括了威胁监测及响应、数据剖析及整理、营业情报及交付、危害评估及咨询、清静托管及应用等各个方面 ，涉及研究、产品、服务、运营及营销的各个环节 ，九游老哥科技通过研究、云端、产品、服务等立体的应急响应系统 ，向企业和组织实时提供威胁情报并一连举行后续服务 ，包管客户营业的顺畅运行。
若是您对我们提供的内容有任何疑问 ，或者需要相识更多的信息 ，可以随时通过在微博、微信中搜索九游老哥科技联系九游老哥 ，接待您的垂询！
