×

黑客也用兵法,Camouflage病毒实战演示暗度陈仓
  

无花果 3860

{{ttag.title}}
前言

“明修栈道,暗度陈仓”的典故许多人都听说过,该典故出自楚汉争霸时期,刘邦意图进入关中,需要攻下关中咽喉之地——陈仓。韩信献出一计:表面上浩浩荡荡地修复通往陈仓的栈道以迷惑陈仓守将,暗地里派兵从小道偷袭陈仓。最终刘邦采用此计一举夺取关中之地,为后续争霸天下铺路。

通过表面的行动迷惑敌人,隐藏自己的攻击路线,暗地里实施真正的攻击,这一直是战争中的常用手法。如今这一手法却被恶意开发者学了去,在病毒中使用该手法迷惑感染用户,攻击用户手机于无形之中。

近期,安天AVL移动安全和猎豹移动安全实验室捕获一种病毒程序” Camouflage”,该病毒正是利用暗度陈仓之计攻击用户手机:根据远程控制指令弹出锁屏界面,强制锁定用户手机屏幕,锁屏界面伪装成内存清理界面以迷惑用户;实际在在锁屏期间,该病毒会私自拨打扣费电话、发送扣费短信并删除通话、短信记录,在用户毫不知情的情况下使其承受资费损失。

除此之外,该病毒还会联网下载恶意子包,利用子包联网获取多种root工具对用户手机提权,一旦提权成功立即删除并替换系统root工具,使自身成为手机中唯一具备root权限的应用。与此同时,该病毒通过联网获取相关推送数据,向用户手机推送广告,私自下载同类恶意应用并安装运行,严重影响用户手机使用体验。为防止自身被卸载,该病毒会监控手机中正在运行的应用包名,如果与指定杀毒软件的包名重合,则立即卸载该应用。

恶意程序运行流程图


病毒传播途径和感染数据传播途径

通过分析大量Camouflage病毒家族样本,我们发现该类病毒主要通过重打包成游戏类、休闲类应用进行传播,部分应用名称如下图所示。



用户感染数据

在2016年10月1日至12月1日期间, 该病毒累计感染518,311次,其日均感染事件数如下图所示:

统计该病毒的感染区域信息,我们发现感染情况最严重的是广东省,其次是四川省、北京市:


详细分析推送广告和其他同类恶意应用

该病毒运行时在本地解密url和网址后缀并拼接,以获取广告和其他恶意应用推送数据的下载地址。


网址后缀及其对应功能如下表所示:


广告数据:

推送的应用数据:


该病毒会不断获取推送信息和下载应用,并将这些文件保存在SD卡指定目录下。



在获取推送信息后,该病毒会定时以广告弹窗、通知栏提示、安装快捷方式和提示用户安装的方式进行广告推送。





推送的应用被安装后会通过am命令启动:


联网下载恶意子包

该病毒在推送广告和恶意应用的同时,本地解密URL后联网获取子包相关的数据和下载地址。

联网获取的恶意数据:

解密后数据如下:

该病毒私自下载恶意子包文件并将其保存到SD卡/.w/目录下(手机中文件夹名前带“.”的为隐藏文件夹,可以使用shell命令“ls -a”查看),文件名称为119.tmp,解密后即得到子包文件,最后利用反射调用子包的MS服务运行。


私自root提权

恶意子包运行时会联网获取多种root方案和root工具的下载地址并下载,私自对用户手机进行提权。攻击者通过尝试多种root方案和工具最终达到root用户手机的恶意目的。

联网获取的恶意数据:

解密后的数据为:

下载的文件说明:

Testcomn.zip文件解压后里面包含多个文件,文件名与功能如下:

替换系统文件

恶意子包在成功提权后,通过postsh脚本命令删除系统原本的权限管理文件,并将自己的权限管理文件以及启动脚本推送到指定目录下,导致用户无法获取root权限。

删除系统原本的权限管理文件:

复制手机自身的权限管理文件到系统目录中:

在启动脚本中以守护进程的形式启动指定目录下的提权文件:

在获取Root权限后,该病毒还会将子包推送到系统目录下,导致用户即使成功卸载该病毒主程序,也会继续受到该病毒恶意行为的影响。


私自扣费

恶意子包在运行时,该病毒会联网获取扣费指令信息并下载锁屏图片,强制置顶锁屏动图对用户手机进行锁屏,在锁屏时后台私自执行拨打扣费电话、发送扣费短信等恶意行为。在发送短信和拨打电话后,该病毒会将相关短信、通话记录删除,使用户完全无法感知资费消耗。
联网获取的扣费指令信息:

对扣费指令信息进行解密后,解密信息如下:

该病毒伪装成清理内存的界面,对用户手机进行锁屏:

对用户手机锁屏后,该病毒会私自在后台发送扣费短信:

监听用户接收的回执短信并删除相关的短信记录:

用户手机被锁屏后私自拨打扣费的sp号码:

监听通话状态,解锁屏幕时结束通话并删除通话记录:

卸载指定程序和杀毒软件

恶意子包在运行时会根据指定包名列表–UPKEY中的包名与正在运行的程序对比,若包名相同则将其禁用,后续通过命令直接卸载该应用。包名列表中包含了与该病毒相似的恶意应用,联想到该病毒下载并安装其他恶意应用的行为,我们合理推测这部分恶意应用就是该病毒下载的应用,在完成推广行为或恶意行为之后进行卸载。此外我们在该病毒的代码中也发现了许多知名杀软的包名,该病毒一旦检测到这些杀毒软件正在运行,会立即禁用并卸载,以逃避杀毒软件的查杀。

UPKEY中的包名列表:

病毒代码中的包名列表:

下载相关文件和数据

在执行恶意行为的过程中,该恶意程序会下载大量文件和数据,以达到执行恶意行为的目的。

总结

Camouflage病毒通过重打包游戏类、休闲类应用进行传播,从感染情况来看,这种伪装手段带来了惊人的传播量。通过分析发现,该病毒主程序本身代码恶意性不强,但是在进入感染手机后通过解密、拼接URL的形式下载恶意子包、推广数据以执行其主要恶意攻击行为,行为方式非常隐蔽。另外,该病毒以监控运行程序的方式对手机中的杀毒软件进行卸载,以此逃脱杀毒软件的查杀。

为成功root手机,该病毒会下载多种root方案和工具对手机进行提权,并替换系统的提权文件,使得自身成为手机中唯一具有root权限的应用,在一定程度上避免自身被卸载,同时为后续的恶意扣费的行为做好铺垫。

该病毒在执行私自恶意扣费行为时,通过置顶一个内存清理的页面来欺骗用户,并在扣费完成之后,删除对应的短信、电话记录,使用户在毫无感知的情况下蒙受较大的资费损耗。

安全建议

针对Camouflage系列病毒,安全厂商提醒您:

  • 请保持良好的上网习惯,不要在非官方网站或者不知名应用市场下载任何应用;
  • 当发现手机中突然出现不知来源广告或页面时,请立即下载安全软件进行查杀;
  • 建议使用手机安全软件,并保持定期扫描的良好习惯。





原文转自FreeBuf.com

打赏鼓励作者,期待更多好文!

打赏
1人已打赏

Sangfor_闪电回_朱丽 发表于 2016-12-12 16:51
  
吓得手都抖了,感觉已中过招~
稻草 发表于 2016-12-12 17:00
  
雨中漫步 发表于 2016-12-12 17:05
  
转自FreeBuf.com
Charles 发表于 2016-12-12 17:12
  
吓得我立马扔了手机
carl 发表于 2016-12-12 17:12
  
重点在这:
请保持良好的上网习惯,不要在非官方网站或者不知名应用市场下载任何应用;
当发现手机中突然出现不知来源广告或页面时,请立即下载安全软件进行查杀;
建议使用手机安全软件,并保持定期扫描的良好习惯。
feeling 发表于 2017-2-6 20:14
  
太牛了,看不懂
发表新帖
热门标签
全部标签>
西北区每日一问
技术盲盒
安全效果
【 社区to talk】
技术笔记
干货满满
每日一问
信服课堂视频
新版本体验
GIF动图学习
技术咨询
功能体验
2023技术争霸赛专题
产品连连看
安装部署配置
通用技术
秒懂零信任
技术晨报
自助服务平台操作指引
原创分享
标准化排查
排障笔记本
玩转零信任
排障那些事
SDP百科
深信服技术支持平台
POC测试案例
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
高手请过招
升级&主动服务
高频问题集锦
社区新周刊
全能先锋系列
云化安全能力

本版达人

SANGFOR...

本周分享达人