道有道的对抗之路-360研究报告.pdfVIP

“道有道”的对抗之路 一、背景 今年央视 3.15 晚会曝光了道有道科技公司通过推送恶意程序，使手机用户被莫名扣费 的问题，引起了广大手机用户的高度关注。 360 移动安全团队对道有道广告SDK 进行了分析与研究。截至2016 年3 月底，嵌入道 有道广告SDK 的应用软件累计达到80 万个，从月增样本数量统计可以看出，在去年年中的 一个月内就收录了近10 万个。 二、广告形式 在道有道的官网上，介绍了其广告 SDK 的展现形式包括插屏广告、Banner 广告和应用 推荐广告。 其官网展示的插屏广告是在软件内的插屏，实际上在其广告 SDK 开发文档中，还支持 在自身软件外弹插屏广告，这也正是3.15 曝光的展现形式。 这种外插屏的展现形式，侵犯了用户的知情权，用户不知道是哪个应用弹的广告，并且 点击屏幕任何地方都会直接下载推广的应用，除非准确点击ⓧ才能关闭广告。这种匿名且在 自身应用外推送的广告展现形式，不但容易造成用户手机流量损失，还影响用户手机正常使 用，被我们定义为恶意广告。 三、推广 360 移动安全团队发现，借助道有道广告SDK 推广的软件，除了正常软件外，还存在大 量的恶意软件，比如3.15 曝光的色情视频类恶意软件。我们之前发布的“舞毒蛾”[1]和“百 脑虫”[2]木马分析报告，都是借助色情视频类恶意软件传播、感染用户手机，并且难以清 除干净。 移动广告平台对推广的应用审核不严，助涨了恶意软件传播，成为了其帮凶，最终造成 用户经济损失、隐私泄露。 四、对抗演变 360 移动安全团队分析发现，道有道广告SDK 利用静态和动态相结合的手段，与杀软特 征进行持续性的对抗，从而躲避杀软的查杀。 1. 静态对抗 1.1 组件名称随机化 从静态角度，通过对比嵌入其 SDK 的两个相似样本的 AndroidManifest.xml 文件内容， 可以发现其声明的 activity、service 名称都是随机生成的，没有任何含义，这与一般正常软 件的声明方式有明显的不同。 1.2 方法及字符串变形 SDK 中的方法及字符串也在不断的进行变化，来躲避杀软静态特征识别。下面以 onKeyDown 方法为例，来展示其不同版本的变化情况。 最初的版本，方法和字符串均未加密。 升级的版本，方法中的字符串进行简单的Base64 加密。 再后续的版本中，隐藏方式又有所加深，将方法名称及字符串都保存在配置文件里。 1.3 核心代码的隐藏 道有道广告SDK 的核心功能都是依靠动态加载的dex 文件来实现，这也是躲避杀软静态 特征扫描的一种手段。其主要采用本地文件释放和代码运行释放两种手段隐藏其核心代码。 解析assets 目录下的资源文件，得到加载的dex 文件。 将dex 文件的二进制编码到代码中，在代码运行过程中解码释放。 2. 动态对抗 2.1 URL 变化 从动态角度，我们以时间轴和不同颜色的方式来展示其广告联网的URL 变化情况。  红色部分：URL 前面几乎都是以“api ”开头，不同时间段后面分别是 “is”、“cp ”、“info”；  绿色部分：URL 最后面都是以“jsp ”结尾，并且从 “init”、“in”和“i1n2i3t4”能够看 出有明显的对抗变化；  蓝色部分：URL 中间部分从“is”变为“nis”，从“_b ”变为“_tgb ”；  黄色部分：URL 开头部分从“api ”变为“ai ”；  紫色部分：URL 结尾从“ai.wa.*/bb ”变为“ai.wa.*/ia”； 以上这些URL 的变化，都是在对抗沙箱等动态检测技术。 五、讨论 移动广告市场的快速增长导致国内涌现出上百家移动广告平台，他们主要依靠在移动应 用中集成广告SDK，收取广告主的展示费来盈利。3.15 曝光的移动广告平台问题，仅仅是冰 上一角，这些广告平台大小不一，良莠不齐，他们提供的广告 SDK 没有统一的行业标准， 给移动安全带来了一定的风险和隐患。 360 移动安全团队发现，开发者嵌入广告SDK 需要的开发门槛极低，甚至有些广告厂商 为了方便开发者嵌入自家平台的广告，提供了广告打包器，只要将开发的应用通过打包器， 就可以制作出嵌有该平台广告的应用。 极低的二次打包成本在一定程度上助涨了盗版软件的滋生。在 360