注册
登录
一、概要近期，腾讯安全反诈骗实验室自研的TRP-AI反病毒引擎捕获到儿童游戏-宝宝**、儿童游戏-宝宝**、儿童游戏-公主** 等“儿童游戏”系列应用在用户设备上有流量异常行为，且存在频繁动态加载dex文件、执行命令、私自提权等可疑操作。安全研究人员通过深入跟踪和分析，发现这类应用表面上是儿童益智类的小游戏，在国内大部分应用市场都有上架，运行后应用界面也没有广告，看起来很“良心”，但实际上，这些应用可以通过云端控制下发恶意插件，在背地里做着用户无法感知的恶意行为：加载恶意广告插件，通过将广告展示界面设置为不可见，进行广告盗刷行为，疯狂消耗用户流量；动态加载恶意ROOT子包，获取手机ROOT权限，替换系统文件，将恶意的ELF文件植入用户手机。 安全人员将这一系列木马应用称为“BlackBaby”木马家族，且“BlackBaby”木马植入的恶意ELF文件模块可以脱离母体独立运行，长期潜伏用户手机，且开机自启动，在后台静默推送恶意色情、扣费软件，对用户造成严重滋扰。 腾讯安全专家分析发现“BlackBaby”系列木马为了绕过查杀、提升了与杀软对抗的能力，使用了很多病毒逃逸技术，主要包括： 使用代码分离技术将代码拆分为多个dex子包，分阶段自云端下载并动态加载，用以绕过了杀软的安装包检测，且便于其他应用集成； 使用了强混淆技术，自定义的字符串变形加密等手段，对抗静态代码检测； 云端控制下发逻辑，躲避杀软的蜜罐检测； “BlackBaby”系列木马涉及一百多款儿童游戏应用，累计影响用户数达百万，其中影响用户较大的应用有：
腾讯安全反诈骗实验室自研的TRP-AI反病毒引擎基于应用的行为进行深度学习，能有效探测应用的可疑操作，很好的应对上述病毒应用采用的逃逸技术，目前已经率先支持查杀该木马家族。
二、病毒详细分析我们以 儿童拼图**拼图 样本为例，对“BlackBaby”木马的作恶行为进行详细分析。 2.1 病毒执行流程
2.2 详细流程分析应用启动时调起fmsd插件的InitSDK方法，会首先连接云端服务器获取配置信息；
云端返回的配置信息，其中子包主要有两个，分别为fmsd_sdk.jar 和 fmsd_sdk_standard.jar，并设置了子包在各渠道上是否下发；
根据云端返回的结果和自身的渠道信息，决定是否下载恶意子包fmsd_sdk.jar 和 fmsd_sdk_standard.jar
A、fmsd_sdk.jar子包设置隐藏广告界面，针对不同的广告平台，进行刷广告行为，消耗用户流量
1）、反射调用*** mobad的API接口进行刷广告
2）、反射调用g***的API接口进行刷广告
3）、使用自定义的webView加载广告url来刷德业广告 伪造请求，获取广告链接
广告提供商返回的广告信息
解析返回的广告信息，使用自定义的webView加载广告
4）、动态抓包获取的广告流量
B、 fmsd_sdk_standard.jar子包静默Root用户手机、植入恶意elf模块 1） Dex子包 fmsd_sdk_standard.jar 会从服务器 http://bnzx.*****61819 下载加密文件，并解密释放在应用的.um_ass目录，释放的文件libumeng.so是一个so文件，子包通过System.load() 加载so文件，并调用它的load_native()方法；
So文件libumeng.so会下载dex子包opa_link.jar ，通过JNI调用DexClassLoader将其动态加载，并将获得的ClassLoader返回给Java层；Java层再通过得到的ClassLoader加载目标类并调用其方法；
2） opa_link.jar 恶意子包被调用后会链接服务器，上传设备相关信息，获取服务器返回的Root子包的相关数据 加密传输的网络请求
解密后的网络请求，我们可以清楚的看到，恶意子包将设备的恶意子包的版本信息、用户应用安装列表、运行包名、运行信息、以及（imei、imsi、osver、mac等）设备信息上传到服务器端；
解密后的服务器返回数据，包含一些配置信息和root模块的下载url、入口类名、函数名等信息。
解析服务器返回的数据，获取Root模块的url、入口类名、函数名等信息
下载root子包，以md5+.jar重命名文件解密释放到应用的.lib/2001目录
本文出处： http://www.freebuf.com/articles/terminal/173104.html | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
