吾爱破解 - LCG - LSG |安卓破解|病毒分析|破解软件|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 13115|回复: 87

[移动样本分析] 对木马APP土耳其字典的逆向分析

[复制链接]
发表于 2017-2-8 22:14 | 显示全部楼层
本帖最后由 wnagzihxain 于 2017-2-10 13:26 编辑

报告名称:对木马APP土耳其字典的逆向分析                                          
作者:wnagzihxain                                                     
报告更新日期:2017.02.08
样本发现日期:不详                                    
样本类型:木马                        
样本文件大小/被感染文件变化长度:   
样本文件MD5 校验值:               
样本文件SHA1 校验值:            
壳信息:无                                                   
可能受到威胁的系统:安卓                  
相关漏洞:无                                                
已知检测名称:无

0x00 病毒特征
该病毒内嵌一个正常应用`土耳其字典`,并将自己伪装成该应用诱导用户下载安装,点击运行后会先运行病毒自身,并隐藏图标,然后释放安装原应用`土耳其字典`,并打开正常运行界面,用户很难察觉在安装时还运行了病毒

0x01 病毒危害
该病毒启动后会在后台获取用户手机硬件数据,GPS位置,短信信息,通话记录,照片缩略图等数据,并在判断网络接通后进行压缩上传,该病毒一旦运行在用户手机中,将造成严重的隐私泄露,流量消耗等问题

0x02 详细分析
病毒逻辑结构

1.png

1.初次运行会进行一次本地配置文件的初始化,保存各种参数信息,比如监控GPS的时间间隔`GPSLevel`,默认是`120`,也就是两个小时记录一次,在比如`ImageSize`,默认是`100`

2.png

在初始化这些变量之后会进行一次存储,写进配置文件

3.png

最后判断是否Root,如果未Root直接退出

4.png

2.如果不是第一次运行并且网络连通,则进行配置参数的更新,然后初始化参数

5.png

3.如果不是第一次运行并且网络不连通,则使用配置文件的数据进行参数的初始化

6.png

4.在进行参数的初始化完成后,设置隔两小时发送一个广播
`"com.example.androIDApp.GPS_TIMER"`

7.png

接收这个的Receiver会启动MyGpsService,该Service主要负责同步`Login.xml`里基站部分的信息,如果基站信息变化则进行数据上传并更新本地配置文件

8.png

5.设置一个定时广播`"android.intent.action.STARTMYAP"`,用于定时启动病毒自身

9.png

6.接下来会进行数据的获取并上传的操作,上传时的流程会结合本地配置文件以及获取的指令进行动态调整,上传的内容包括联系人列表,已安装APP应用信息,短信,通话记录,上网记录,图片缩略图等,收集到的信息会先进行编码,然后压缩,并在网络连通的情况下上传到服务器

10.png

跟入方法`GetInfo()`分析都获取了哪些数据
首先是关于硬件的各种参数以及系统版本的一系列信息

11.png

受害者手机当前所连接的基站信息

12.png

受害者手机当前所连接的WiFi信息

13.png

以及GPS位置信息

14.png

在获取这些数据后会进行压缩处理

15.png

然后编码

16.png

压缩后进行上传,并将上传结果写进配置文件

17.png

在最后还有一个对指令的解析操作,当第n次运行的时候,作者会通过回传的指令来控制配置文件,而配置文件动态控制数据的获取流程,从而有针对性的获取受害者手机数据

18.png

7.在运行完病毒的代码段后,会创建一个新线程`MyThreadStart`,该线程的作用是将原APK从assets文件夹中读取出来进行安装

19.png

同时该线程中还会检测是否安装了该应用,如果检测到该应用,则跳过安装直接打开应用

20.png

8.最后隐藏图标

21.png

0x03 安全建议
1. 使用正规的应用中心作为下载渠道,不安装来路不明的应用
2. 安装专业的手机安全软件,定期杀毒,远离病毒威胁

样本暂不提供下载,谢谢

免费评分

参与人数 38吾爱币 +39 热心值 +38 收起 理由
www6125412 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
liuhier + 1 + 1 用心讨论,共获提升!
zhangjijie + 1 + 1 我很赞同!
purplewall + 1 + 1 已答复!
风吹屁屁凉OL + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
青莲剑哥 + 1 + 1 我很赞同!
jkl718293 + 1 + 1 已答复!
79狼烟 + 1 + 1 用心讨论,共获提升!
xing01324 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
a64330247 + 1 + 1 牛逼
温柔的一哥 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
lapop + 1 + 1 用心讨论,共获提升!
aipanpann + 1 + 1 热心回复!
ya979 + 1 + 1 大神
黑脑 + 1 + 1 热心回复!
a1216120 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
q74330 + 1 + 1 尽管我看不懂,但我会努力学习的,大多数可能还是让我儿学
siwuxie095 + 1 + 1 厉害了,大神
吾爱_欢迎您 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
菜鸟也想飞 + 1 + 1 谢谢@Thanks!
mmgx2010 + 1 + 1 厉害了大牛
2864095098 + 1 + 1 热心回复!
asd4226599 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
单车車 + 1 + 1 我很赞同!
海海海℃ + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
男猫 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
ly_ontheway + 1 + 1 谢谢@Thanks!
Egoista丶 + 1 + 1 我很赞同!
tangwei99 + 1 + 1 长知识了,支持一下~
零和游戏 + 2 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
xiaoshuang + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
Tabeian + 1 + 1 我很赞同!
myqqq + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
ryan515 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
ayoma + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
wahejiahua + 1 + 1 麻烦楼主提供一下样本给我们学习下
微笑丶纯属礼貌 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
枫叶飘零 + 2 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!

查看全部评分

本帖被以下淘专辑推荐:

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

 楼主| 发表于 2017-2-10 13:27 | 显示全部楼层
枫叶飘零 发表于 2017-2-9 01:58
前排膜拜!出售辣条、瓜子以及萌萌哒小枫叶一只!
一听到外国我就想起了上次那个啥玩意拉丁文?

嗯,后来深入分析了一下发现是波斯文

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

 楼主| 发表于 2017-2-10 13:29 | 显示全部楼层
qjf5202015 发表于 2017-2-9 09:17
有没有样本发一下, 学习学习,厉害了我的哥

不好意思,样本暂不提供下载

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-8 23:04 | 显示全部楼层

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-8 23:18 | 显示全部楼层
厉害 支持一下

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-8 23:49 | 显示全部楼层
长知识了,支持一下~

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-9 00:04 | 显示全部楼层
非常好,感谢大神分享

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-9 00:05 | 显示全部楼层
大牛就是厉害

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-9 00:10 | 显示全部楼层
谢谢楼主分享

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-9 00:45 | 显示全部楼层
有没有样本发一下, 学习学习

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-9 01:58 | 显示全部楼层
前排膜拜!出售辣条、瓜子以及萌萌哒小枫叶一只!
一听到外国我就想起了上次那个啥玩意拉丁文?

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

发表于 2017-2-9 09:17 | 显示全部楼层
有没有样本发一下, 学习学习,厉害了我的哥

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】【CB】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则


免责声明:
吾爱破解所发布的一切破解补丁、注册机和注册信息及软件的解密分析文章仅限用于学习和研究目的;不得将上述内容用于商业或者非法用途,否则,一切后果请用户自负。本站信息来自网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑中彻底删除上述内容。如果您喜欢该程序,请支持正版软件,购买注册,得到更好的正版服务。

Mail To:Service@52PoJie.Cn

快速回复 收藏帖子 返回列表 搜索

RSS订阅|手机版|小黑屋|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2017-9-22 00:06

Powered by Discuz!

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表