吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 48143|回复: 99
收起左侧

[移动样本分析] 对木马APP土耳其字典的逆向分析

  [复制链接]
wnagzihxain 发表于 2017-2-8 22:14
使用论坛附件上传样本压缩包时必须使用压缩密码保护,压缩密码:52pojie,否则会导致论坛被杀毒软件等误报,论坛有权随时删除相关附件和帖子!
病毒分析分区附件样本、网址谨慎下载点击,可能对计算机产生破坏,仅供安全人员在法律允许范围内研究,禁止非法用途!
禁止求非法渗透测试、非法网络攻击、获取隐私等违法内容,即使对方是非法内容,也应向警方求助!
本帖最后由 wnagzihxain 于 2017-2-10 13:26 编辑

报告名称:对木马APP土耳其字典的逆向分析                                          
作者:wnagzihxain                                                     
报告更新日期:2017.02.08
样本发现日期:不详                                    
样本类型:木马                        
样本文件大小/被感染文件变化长度:   
样本文件MD5 校验值:               
样本文件SHA1 校验值:            
壳信息:无                                                   
可能受到威胁的系统:安卓                  
相关漏洞:无                                                
已知检测名称:无

0x00 病毒特征
该病毒内嵌一个正常应用`土耳其字典`,并将自己伪装成该应用诱导用户下载安装,点击运行后会先运行病毒自身,并隐藏图标,然后释放安装原应用`土耳其字典`,并打开正常运行界面,用户很难察觉在安装时还运行了病毒

0x01 病毒危害
该病毒启动后会在后台获取用户手机硬件数据,GPS位置,短信信息,通话记录,照片缩略图等数据,并在判断网络接通后进行压缩上传,该病毒一旦运行在用户手机中,将造成严重的隐私泄露,流量消耗等问题

0x02 详细分析
病毒逻辑结构

1.png

1.初次运行会进行一次本地配置文件的初始化,保存各种参数信息,比如监控GPS的时间间隔`GPSLevel`,默认是`120`,也就是两个小时记录一次,在比如`ImageSize`,默认是`100`

2.png

在初始化这些变量之后会进行一次存储,写进配置文件

3.png

最后判断是否Root,如果未Root直接退出

4.png

2.如果不是第一次运行并且网络连通,则进行配置参数的更新,然后初始化参数

5.png

3.如果不是第一次运行并且网络不连通,则使用配置文件的数据进行参数的初始化

6.png

4.在进行参数的初始化完成后,设置隔两小时发送一个广播
`"com.example.androIDApp.GPS_TIMER"`

7.png

接收这个的Receiver会启动MyGpsService,该Service主要负责同步`Login.xml`里基站部分的信息,如果基站信息变化则进行数据上传并更新本地配置文件

8.png

5.设置一个定时广播`"android.intent.action.STARTMYAP"`,用于定时启动病毒自身

9.png

6.接下来会进行数据的获取并上传的操作,上传时的流程会结合本地配置文件以及获取的指令进行动态调整,上传的内容包括联系人列表,已安装APP应用信息,短信,通话记录,上网记录,图片缩略图等,收集到的信息会先进行编码,然后压缩,并在网络连通的情况下上传到服务器

10.png

跟入方法`GetInfo()`分析都获取了哪些数据
首先是关于硬件的各种参数以及系统版本的一系列信息

11.png

受害者手机当前所连接的基站信息

12.png

受害者手机当前所连接的WiFi信息

13.png

以及GPS位置信息

14.png

在获取这些数据后会进行压缩处理

15.png

然后编码

16.png

压缩后进行上传,并将上传结果写进配置文件

17.png

在最后还有一个对指令的解析操作,当第n次运行的时候,作者会通过回传的指令来控制配置文件,而配置文件动态控制数据的获取流程,从而有针对性的获取受害者手机数据

18.png

7.在运行完病毒的代码段后,会创建一个新线程`MyThreadStart`,该线程的作用是将原APK从assets文件夹中读取出来进行安装

19.png

同时该线程中还会检测是否安装了该应用,如果检测到该应用,则跳过安装直接打开应用

20.png

8.最后隐藏图标

21.png

0x03 安全建议
1. 使用正规的应用中心作为下载渠道,不安装来路不明的应用
2. 安装专业的手机安全软件,定期杀毒,远离病毒威胁

样本暂不提供下载,谢谢

免费评分

参与人数 41吾爱币 +41 热心值 +41 收起 理由
sultan.sutuq + 1 + 1 热心回复!
hxh010203 + 1 我很赞同!
北风之神 + 1 + 1 我很赞同!
www6125412 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
liuhier + 1 + 1 用心讨论,共获提升!
zhangjijie + 1 + 1 我很赞同!
purplewall + 1 + 1 已答复!
风吹屁屁凉OL + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
青莲剑哥 + 1 + 1 我很赞同!
jkl718293 + 1 + 1 已答复!
79狼烟 + 1 + 1 用心讨论,共获提升!
xing01324 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
a64330247 + 1 + 1 牛逼
温柔的一哥 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
lapop + 1 + 1 用心讨论,共获提升!
aipanpann + 1 + 1 热心回复!
ya979 + 1 + 1 大神
黑脑 + 1 + 1 热心回复!
a1216120 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
q74330 + 1 + 1 尽管我看不懂,但我会努力学习的,大多数可能还是让我儿学
siwuxie095 + 1 + 1 厉害了,大神
吾爱_欢迎您 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
菜鸟也想飞 + 1 + 1 谢谢@Thanks!
mmgx2010 + 1 + 1 厉害了大牛
2864095098 + 1 + 1 热心回复!
asd4226599 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
单车車 + 1 + 1 我很赞同!
海海海℃ + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
男猫 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
ly_ontheway + 1 + 1 谢谢@Thanks!
Egoista丶 + 1 + 1 我很赞同!
tangwei99 + 1 + 1 长知识了,支持一下~
零和游戏 + 2 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
xiaoshuang + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
Tabeian + 1 + 1 我很赞同!
myqqq + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
ryan515 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
ayoma + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
wahejiahua + 1 + 1 麻烦楼主提供一下样本给我们学习下
微笑丶纯属礼貌 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
枫MapleLCG + 2 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!

查看全部评分

本帖被以下淘专辑推荐:

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

 楼主| wnagzihxain 发表于 2017-2-10 13:27
枫叶飘零 发表于 2017-2-9 01:58
前排膜拜!出售辣条、瓜子以及萌萌哒小枫叶一只!
一听到外国我就想起了上次那个啥玩意拉丁文?

嗯,后来深入分析了一下发现是波斯文
sunrise1106 发表于 2018-11-2 10:21
看图片你这个是维吾尔文的土耳其语词典,不是波斯文。是新疆那边开发的词典,应该是新疆比利坎公司开发的
无名侠 发表于 2017-2-8 23:04
告诉她我爱她丶 发表于 2017-2-8 23:18
厉害 支持一下
aceryao 发表于 2017-2-8 23:49
长知识了,支持一下~
Stillthekid 发表于 2017-2-9 00:04
非常好,感谢大神分享
_下雨天丶流泪天 发表于 2017-2-9 00:05
大牛就是厉害
chenjingyes 发表于 2017-2-9 00:10
谢谢楼主分享
mayl8822 发表于 2017-2-9 00:45
有没有样本发一下, 学习学习
枫MapleLCG 发表于 2017-2-9 01:58
前排膜拜!出售辣条、瓜子以及萌萌哒小枫叶一只!
一听到外国我就想起了上次那个啥玩意拉丁文?
qjf5202015 发表于 2017-2-9 09:17
有没有样本发一下, 学习学习,厉害了我的哥
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-3-28 22:00

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表