相册木马跟踪分析.docxVIP

相册木马跟踪分析Content木马信息3危害程度3分析步骤3病毒样本Apk解包3解包后关键文件确定4关键文件逐步分析4strings.xml4AndroidManifest.xml5LogcatScannerService.smali5AndroidLogcatScannerThread.smali6MainActivity.smali6MainAPP.smali8SmsReceiver.smali9libAPKProtect.so9分析结果汇总10病毒工作流程10病毒主要特点10病毒对抗分析10紧急应对方法11终端用户可以在系统设置中卸载它11建议各杀毒软件厂商尽快给出查杀办法11建议运营商可以通过短信的形式发送告警11威胁情报11关于绿盟科技12执行摘要5月4日晚，绿盟科技威胁响应中心监测到在安徽、浙江等区域出现Android聚会相册蠕虫大规模传播的情况，传播速度较快，随即启动应急机制，应急响应工作随即启动。5日晨，合肥办接客户获取木反馈，将相关信息提报总部，启动木马分析工作。5日，对木马样本深入分析，并给出应对方法。6日，发布紧急通告，并将分析报告发送给客户及合作伙伴。7日，结合深入分析，更新报告到2.0如果您需要了解更多信息，请联系：绿盟科技威胁响应中心微博/threatresponse绿盟科技微博/nsfocus绿盟科技微信号搜索公众号绿盟科技木马信息聚会相册早在2014年就曾经出现过，当时大多是病毒的形式，影响范围有限，在扫描结果中通常可以看到Android.Troj.Sms的标识信息。在2015年劳动节后，绿盟科技威胁响应中心监测到在在安徽、浙江等局部区域，该病毒有大规模传播的趋势，且已经具备蠕虫的特征。该蠕虫传播方式有如下几种：通过感染手机，搜索联系人，发送短信诱使被害人打开恶意网站或者安装APK程序通过感染QQ，搜索联系人，发送链接诱使被害人安装应用程序通过相册APP，进一步扩大发送范围该蠕虫在传播过程中，可能会发送如下信息：你在干嘛?新年快乐，这是过年时候大家聚会的照片，好珍贵的留影，你快看看吧，地址:http://…这是我们以前的照片你手机打开看看 http://....新年好!这是过年时候大家聚会的照片，好珍贵的留影，你快看看吧，地址：http://...你竟然做出了这样的事!实在让人不能原谅!..../10086.apk;看你干的好事，自己看吧…/SS.APK 打開证据都在里面呢;有人悄悄在生日管家记录了您的生日，点击了解http://...xxx这是之前的聚会照弄好了，大家的精彩瞬间。手机直接点击地址X安装激活查看…危害程度从技术角度上来说，该木马具备简单的反解密措施，以逃避现有杀毒软件的查杀，从目前公开检测报告来看，现有各软件的检测及查杀效果较差，从而对其自我传播形成有利形势。从威胁态势上来看，该木马虽然目前传播后，除消耗话费外并没有做出严重危害动作，但其代码中具备监听手机接收到短信的功能，未来在其大规模感染后，很容利用此功能进行网银、支付宝等金融犯罪动作，其潜在的威胁程度较高。分析步骤病毒样本Apk解包绿盟科技安全人员在获取到病毒样本后，第一时间进行了解包分析，通过使用如下命令可完成apk的解包$ java –jar apktool.jar d apkfile_path解包结果如下图所示：解包后关键文件确定随即对解包后的各个文件进行分析。在android工程中，排除掉编译时自动生成的文件，以及样本分析关系不大的文件，最终确定以下一些文件为病毒的关键文件：./res/values/strings.xml./smali/cn/cnn/mmc/eez/LogcatScannerService.smali./smali/cn/cnn/mmc/eez/LogcatScannerService$AndroidLogcatScannerThread.smali./smali/cn/cnn/mmc/eez/MainActivity.smali./smali/cn/cnn/mmc/eez/MainAPP.smali./smali/cn/cnn/mmc/eez/SmsReceiver.smali./AndroidManifest.xml./lib/armeabi/libAPKProtect.so其中，smali类型的文件，为apk中经过java代码编写后生成的文件；Strings.xml为apk中的一些静态字符串变量；AndroidManifest.xml为apk开发过程中的配置文件；so文件为APP中通过C代码编写的文件。关键文件逐步分析对病毒样本的各关键文件的分析如下：strings.xml在这个文件中，除了有一个应用名称（聚会相册）外，没有发现有价值的提示信息。AndroidManifest.xml这个配置文