注册
登录
一、新型勒索木马介绍【样本类型】：勒索木马(ransomware) Android端 【危害性】DoubleLocker与今年6月份曝出的手机版WannaCry病毒相比，除了会通过加密用户数据（譬如手机相册）向受害人勒索钱财之外，还会锁定手机致使用户无法使用，因此DoubleLocker的勒索危害性有可能比 手机版WannaCry更严重 【传播途径】通过网站推送虚假的“Adobe Flash Player ”应用更新，诱导用户下载安装 【主要风险行为】 用户不幸中毒后，该病毒会加密用户手机上的 图片等文件内容，并上传加密密钥到黑客的服务器，同时 还会申请设备管理权限，导致难以卸载。申请的权限包括 ：强制锁屏、清除用户密码、清除用户数据、限制 用户可选择的密码样式、登录行为监控、禁止摄像头使用、加密存储 数据； 在病毒启动后将会锁住用户手机屏幕 ，影响正常使用。黑客会以解密文件为由，勒索钱财，交付赎金才能解锁之前被加密的文件 。 勒索界面截图 : 二、对该病毒代码的逆向分析： 进程启动之后，启动Service定时轮询 owd.qusutsqfdo.mbpepvxhxly.lLllIIllllIlllIlIIlILIIlIlLlIIllLlllllIIIllIlllllllIIlII逆向 片段 轮询逻辑：判断设备管理器和辅助点击服务是否打开 owd.qusutsqfdo.mbpepvxhxly.q类run方法逆向片段 轮询逻辑：一旦辅助点击服务开启，跳转 设备管理界面，激活设备管理器 owd.qusutsqfdo.mbpepvxhxly.q类run方法逆向片段 owd.qusutsqfdo.mbpepvxhxly.lIllllllllIILIIIllLLIIIllIIllILIllllIlllIIIllIllllIIllll类 onCreate方法逆向 owd.qusutsqfdo.mbpepvxhxly.lIllllllllIILIIIllLLIIIllIIllILIllllIlllIIIllIllllIIllll类 a方法逆向 辅助点击服务owd.qusutsqfdo.mbpepvxhxly.lIllIIIllLlllIIIllIIlllLIlllIllIllIllLllIIILllIllllllIII 的onAccessibilityEvent方法逆向片段（用于点击激活设备管理器 ） AndroidManifest.xml声明了设备管理器，申请 权限包含：
AndroidManifest.xml 片断 申请的设备管理器权限 清除锁屏和密码 owd.qusutsqfdo.mbpepvxhxly.q类run方法逆向片段 （还有其他多处清除解锁的代码片段 ） 弹出勒索界面（见上文 勒索界面截图） owd.qusutsqfdo.mbpepvxhxly.llllllIlIlLLIIlILIIIIlllllIllIIIllIIllIlIlllllLllllIIlIl类 的onCreate方法逆向片段 其中，21791104是添加的view的flag，拆分出来为：FLAG_KEEP_SCREEN_ON 、FLAG_LAYOUT_IN_SCREEN、FLAG_IGNORE_CHEEK_PRESSES、FLAG_WATCH_OUTSIDE_TOUCH 、FLAG_SHOW_WHEN_LOCKED、FLAG_DISMISS_KEYGUARD、FLAG_HARDWARE_ACCELERATED ，所以锁屏界面常亮，导航键点击无效。 生成随机秘钥 owd.qusutsqfdo.mbpepvxhxly.e类a方法逆向逻辑 owd.qusutsqfdo.mbpepvxhxly.e类部分逆向逻辑 上传秘钥到服务器 加解密文件 owd.qusutsqfdo.mbpepvxhxly.f类b方法部分逆向逻辑 当受到黑产云端push下来的解密key时，解密本地文件 owd.qusutsqfdo.mbpepvxhxly.l类b方法部分 逆向逻辑 三、防护建议1、通过正规的渠道进行软件下载和升级，不随意下载来历不明软件 2、腾讯手机管家已能全面查杀这类 病毒，用户可以安装腾讯手机管家来避免遭受损失 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
