禁播手机中毒怎么办

"百脑虫"手机病毒分析报告360互联网安全中心一.
背景2015年末,360移动安全团队不断收到用户反馈,手机中莫名其妙地被下载安装其他应用、手机自动订阅扣费服务等问题,手机还原出厂设置后,问题依旧无法解决.
类似的用户反馈近期越来越多,经360移动安全团队的跟踪发现,引起此类症状的元凶为一linux系统层病毒.
该病毒的核心模块包括一个ELF系统文件conbb(configopb)及一个伪装系统应用的APK文件core,通过这些文件,我们发现病毒提供了一整套完善的实现和接口,能够被不同的APK应用方便的打包调用,进而造成该病毒被广泛传播,影响恶劣.
据后台数据分析,打包该病毒模块的应用达数百种之多,因此,我们该病毒命名为"百脑虫"病毒.
通过搜索引擎能够轻松的发现中招网友的反馈:图1"百脑虫"感染网友反馈二.
传播"百脑虫"病毒是以插件的形式嵌入各种应用程序里面传播的,其中又以本身就有很多问题的色情类应用和一些受欢迎的高广应用居多,这些被重打包的问题程序通过第三方电子市场或某些色情类网站进行疯狂传播.
1、色情视频类应用嵌入百脑虫病毒的色情类APP的名称具有极高的诱惑性,如成人影院、媚娘影音、干姐姐视频、禁播视频等.
一旦"宅男"用户对这些极其诱惑性的APP名称经不起其诱惑,点击安装此类应用即可中招.
图2嵌入百脑虫病毒的色情类应用2、高人气正常应用具有较高人气的正常应用也是百脑虫病毒传播的重灾区.
如千炮捕鱼新年版、极品时刻表、全名挖钻石等都被别有用心的病毒作者篡改,嵌入了百脑虫病毒.
如用户安全意识薄弱,未通过官方或正规第三方电子市场下载安装此类应用,很容易被百脑虫病毒感染.
图3嵌入百脑虫病毒的正常应用三.
病毒介绍百脑虫病毒模块关系如图:图4百脑虫模块关系打包百脑虫的应用启动后,会提权释放一个无图标的APK到系统应用路径里,此APK在后台默默运行,用户难以发觉.
此APK就是百脑虫病毒的核心模块,它主要功能有检查安全软件、劫取用户隐私、静默推广安装其他应用及病毒文件等.
百脑虫执行流程图如下:图5百脑虫执行过程1、打包百脑虫的应用启动后,首先从assets文件夹中的加密数据文件中解密所有重要模块.
其中包含第三方root提权工具、su文件、core核心模块、conbb病毒安装脚本、install-recovery.
sh等.
2、判断用户手机是否处于root状态.
如果不是root状态,将用户机型、系统版本等信息上报给云端,并从云端下载与机型、系统版本相应的已知漏洞的root提权文件,使用第三方工具执行root提权.
3、提权成功后将core模块复制到/system/app下成为系统应用,使用户无法通过正常方法卸载此应用.
4、core模块一直运行在后台,判断自己是否处于安全厂商沙箱环境中,如果是,则直接退出不做进一步行为.
5、core模块判断是否有安全软件服务在运行,如果是,尝试强制终止其服务进程.
6、core模块删除所有其他root工具及root授权管理应用,使其他应用无法获取root权限.
7、周期性地从后台静默下载安装众多其他应用及病毒文件.
四.
详细分析1、百脑虫重打包代码百脑虫病毒是被其他应用重打包后传播的,一个被重打包的应用,入口函数中会加入一行病毒的启动代码.
此应用运行时,百脑虫病毒代码将获得执行权限.
图6百脑虫病毒的启动代码病毒代码执行以后,从assets文件夹的krLib(文件名可变)加密数据文件的起始64个字节获取密钥KEY及配置相关信息.
图7获取密钥及运行相关配置信息从实际病毒样本中获取的密钥为"10249832931963293212373431424213",运行相关配置信息为"00000000000000010000000000000336".
密钥会用在解密百脑虫病毒其他模块及字符串.
母包APP层的解密算法有两种:dn_1、dn_2.
dn_1是用来解密其他百脑虫相关模块,dn_2是用来解密关键字符串.
图8加密的关键字符串图9解密函数用已取得的密钥配合解密算法,可以还原关键字符串:图10解密后代码片段图11解密后百脑虫文件此后,百脑虫会检测运行环境是否真实,如果检测到沙箱环境,病毒会自动退出.
通过环境检测以后,病毒判断系统是否存在文件"/sytem/bin/conbb"、"/system/xbin/conbb"、"/system/bin/su"、"/system/xbin"中的任何一个或服务进程"com.
android.
browser.
internal.
server".
如果是,则说明手机已经处于root状态,检验结果上报给远程服务器并执行后面的流程,如果病毒判断手机未root,则加载librgsdk.
so模块执行root提权.
librgsdk.
so原本是正规厂商的root提权模块,但由于对调用者的验证不严谨,导致把接口暴露给了病毒作者.
图12百脑虫提权流程成功root后,百脑虫便开始安装core核心模块到系统目录.
首先复制core文件到系统路径下("/system/app/BrowserInfoServer.
APK"),赋予系统应用权限644,使用户无法通过正常方式卸载此应用.
并通过执行命令"amstartservice-ncom.
android.
browser.
internal.
server/com.
android.
phone.
BrowserService"启动core服务.
图13安装及执行core应用2、百脑虫core模块core模块是百脑虫病毒的核心模块,通过驻留在系统空间,实现其下载推广的恶意行为,它通过注册receiver实现随系统开机或网络状态改变时启动.
图14core模块注册的receivercore模块启动后会清理安装路径下的所有缓存的dex文件,并加载执行安装路径下所有JAR包的主入口"com.
android.
xb.
init".
图15加载执行JAR包为了更好地隐藏自己,core模块几乎所有的字符串都做了加密处理,并在执行过程中调用getSystemDecodeVaule动态解密的方式执行.
图16动态解密关键字符串图17解密函数因解密函数为静态函数,可以通过java反射机制加载core应用并调用getSystemDecodeVaule可以解密关键字符串.
图18模拟调用解密函数的代码片段图19部分解密后的关键字符串core初始化完毕以后,将执行其核心功能.
首先会将用户手机信息及病毒运行结果上报给远程服务器ph1.
opnixi.
com.
上传的信息包含病毒当前版本、手机imsi、当前病毒运行时间间隔、是否为内置rom、病毒运行环境是否安全、已安装的应用列表、已经下载的JAR包等等.
图20百脑虫上传信息云端根据手机上传信息选择返回内容.
如果上传信息一切顺利,服务端将会返回JAR包下载列表.
测试时返回的下载地址为"http://[removed]/download/modules/OPBUpdate_6000.
JAR".
图21百脑虫下载JAR包JAR包中包含APK及安装配置信息.
通过配置信息病毒决定是否将APK安装为系统应用还是正常应用,如果一旦安装成系统应用将意味着很难清理.
图22安装配置信息图23从下载的jar包安装apk此外,百脑虫还会将自己推广的APK及安装配置信息备份至目录"/mnt/sdcard/Android/com/usbdevice/dbinfo"下,以便被用户卸载后立即还原,因此,一般用户基本不可能手动将其清理掉.
图24百脑虫备份自身文件分析发现,"百脑虫"病毒除了在手机启动或者网络连接状态发生变化时,执行其恶意功能,它还设置了一个时间周期,即每隔一个小时,便连接病毒服务器下载应用执行,并对下载的文件进行备份,一旦发现被删除卸载则重新安装.
五.
问题应用据后台数据分析,打包百脑虫的应用达数百种之多,这里我们分析一些传播量较广的问题应用做简单介绍,详细情况见附录一.
1、"禁播视频":除了具有百脑虫的病毒功能之外其自身行为也极其恶劣.
不仅恶意推广其他应用,还会未经用户允许后台偷偷订阅扣费业务给用户造成经济上的损失.
因"禁播视频"运行时会屏蔽"成功订阅服务"、"验证码"之类的扣费相关敏感短信,用户难以第一时间察觉.
图25禁播视频后台访问订阅服务的网站图26扣费验证码2、"雷霆战机2015新年版":此款游戏原本是正常且最近人气较高的射击类手游.
一旦用户从非官方渠道下载安装嵌入"百脑虫"病毒的重打包应用,"百脑虫"病毒也跟随此应用被偷偷安装.
因"百脑虫"病毒无图标,且伪装成系统应用户很难察觉它的存在.
六.
查杀与修复目前,360手机急救箱已经支持对该木马的查杀与修复:图27360手机急救箱查杀修复界面"百脑虫"病毒可以大范围传播的主要原因之一是由于用户的安全意思薄弱.
为了防止被"百脑虫"病毒感染,提以下建议:1、不要轻易下载安装所谓"色情类"相关视频应用.
2、下载应用时尽量通过官方或正规第三方电子市场下载安装.
3、如遇到被静默安装其他应用或恶意扣费等安全相关异常症状,立即反馈给正规安全厂商.
4、安装正规手机安全软件实时保护系统安全.
手机急救箱下载地址:http://jijiu.
360.
cn/附录一:打包百脑虫应用应用名称MD5情景切换cedca3abced18acef0ff0953cb162f4f暴力战车e0f7a130214877a4e8f73ae1b4acf2fd8-bitJim2bfe3d1dc057396d6944f8c3e0db6ab4一键锁屏9d272f102949dd19b57e0a1c77918107日历341c169b016601e3e7b0f448415a50b4知了0d23a1c00354c8993a82621a34a3053f美女浴室409b1c1356fd5a5b468f901a3b4b62e2日历82b70528225a5e7ad51192402e460121抢票闹钟878fedd83bd8d4f9b715577bc96f3851日历2cb438b6c73a7e98ae81a36f37af7549悦动浏览器a78e2c08f54ecdae88fa3238d4677aaa疾风剑圣c33ff5de90a139ef67e8c7a2aebf9928知了3401cb52afe5e15d1eb90ee1a33d8b00信号提醒bb9d20dd63f1375475ddf8eca344b5ba禁播视频19281e232f4f92a0aad414cd6ae8fbe2禁播视频c2608dc7b0a30ba748ca7eec23689f34禁播视频3d9365c540ca45e523810fc3447ea7b2sh087d7cc1c131037d35780bfacadd71268日历3fe350f66dfb97e82618a4690ffad9d2窃窃私语8134f4113937d614dfac6f8cc72d1171窃窃私语4250c6c57720d4907122380ec33b4469成人笑话9063c114cca6d05af707a4e83d51fb22禁播视频84705368e0708d594089bfc0fac2416a大智慧27a753751fb9505906cfd5b8dc515773禁播视频72c2b9fc0f7ff08363a712c55905bfe2禁播视频7abf754a6bf05fa8dc1a7ac2f2b1ce6e禁播视频af55d11c116f04d58c58450446edda63禁播视频dbe74328a87edf516cf4983eda1f717c禁播视频55e01bf442ac34cb71d9dcfaf5956354禁播视频e3c26dc318678fd82c5ce2ad4d0d5042禁播视频04e675406afa44e8ad3899de3db2fb87禁播视频642f6e7f71b446492096c8e3a6644e9a禁播视频5c381cfe97413163a552bdd9319dba7a禁播视频58e8684cbd653ef8979395439abb3b14禁播视频e9876472452c92a4587915e6c3fe1768禁播视频e1c729971e09b8bc64e8fba8046b6ad2禁播视频ac7f70cde122654f5b4e758ce0bd82e9禁播视频4ca3e9dcb3bbf5d6ff2a58a538f6ea58禁播视频f070cf282ab730d2f33413cb10f7629b禁播视频3f8363b50cc90776fa5f8880d14b77b8禁播视频5922dca0147d22523d37ef794fe3cdd1禁播视频eedc84e60a9c887221475a776c3812af禁播视频db0482e5a9357702c107d85d978592f4禁播视频7837cf21a8e8a11ae0423d9cece15729禁播视频7b2db1dc2f5d1669d648997e9e5dd511禁播视频5632721955be25a4712a35566ae2facf禁播视频1d13e0e495ceed65a15c13ca9c2cd746禁播视频ba8864a576a5074407659a4f99a78e23禁播视频d9efc83dfd98fb78db9a9c12ca11ae19禁播视频fad5e931aed3798cc7ac47a3980cd8ca禁播视频05becda7a63e73a893b682ece7cda6e6禁播视频261ffbed4bbd89cab4d9146df0f5d8e9禁播视频26fd627c79a5b9ec2422b1de36eb3420禁播视频bac50a5522823cb3e72a912402f06fea禁播视频5443abbb5dabe335964441c38f36768f禁播视频63c2c5e261b63af16be818ad7554ccb1禁播视频37796adb179cd9fe2af0636e53ce5d06禁播视频2aa56cf21a3d4a3bcf180108cee97445禁播视频e56d3151da47a05b99bbf910e647c245禁播视频b649f0d2975ca146d6a4de8236da0fc8禁播视频bb8615dd6558055f563add18a24b67e1禁播视频2fa8a8c37d9360848a700c57ac0baab2禁播视频f7b609c35e26c6573424ba99a0964749禁播视频a7c512282cf79854047cbd34325b65cc禁播视频945c4f8ce01c4e6902dca2f0cd8a3f1c禁播视频fbbeb38e21544ff19537b483a0ad4633禁播视频2b4a53eee3995129c262e4d5640c8d54禁播视频d59f9fd7a5f4fac6d632b285f5d6e0ae禁播视频82dd6ab36005544da20b62d39c06acc7禁播视频3ed294f35f9c81f591a4d3412c10c689午夜看看0b04228605fa7447d2a6554c18afb986私密快播7515c614a6468caa32535fa51afae0fb私密快播415006600663be1d2f65909265ee6d11少妇寂寞a3f8b16193a22c9e9e8cfecf54745960猜歌曲ea49bfc4754f873c9b0f21e8d5fb1e2d铃声管家6b63bb39ba5bc3d6eda76b466841344fPedometer1a7be7cb1286b0e0d7df5d3acc2e8ecc禁播视频46912aedc5834790a7c15126d6ab5581photoSlide13f3c4720aa86cb4731341b1a6afe8eb信号提醒236d8627bd51089d1f4a1eb07f5b1ac1一键锁屏9930b89a19a3e43ae5987fe56b9e7d44知了f35d03d6b9fc8e130dafc4e4bcf54d97禁播视频0c6737f4c9c4adeef372a07d35ad328a浏览器95708f24ddfb70194b5abff2705f78e1看看免费小说3737891b83603f844b5de7c068d785bfjolo_old_new92cff9e9cd82ce31ab47c75cc3139fd0jolo_old_new98480944c5d4464b5e7ab250bed6b748抢票闹钟74e0574a53bb6de51714e982566132d1jolo_old_newafb3b0c374d2cee6f3c98a73c3fad380点击英雄8c03cf1011b2026e825c6bc2c9feaaba看看免费小说6fd5c5a446173724ad756f76a7f000a9jolo_old_new63c529cc79927d43f93a333645d17bc8jolo_old_newed9f18a2f7fc4aa0ab16d7738905a594禁播视频c51c2207ce2a6f1725e68bc131dac390看看免费小说958319c51a2452c9ec4f0be9c8383c18健康咨询fcb22aed96d977c6168b864c331845db日历ce47594720a7c4997f2da62f66c0d077文件管理器cfc6326ea59147a3098b12250ee1c372禁播视频ac2bb6296050dd9f3eb7c4b073773951禁播视频30934215e9ea3bc8cc091e557f19ca10禁播视频d9f38561b563215f1827cc75e9b26b0b看看免费小说a7e679012bec774e0540b70c3c4c7118禁播视频421dbd4f903551bb970da7e1753273cb禁播视频b3851586cd6bdb6341da5d9a6c9bc915禁播视频ec6aabaf4cf2e8aa815a301e186db551禁播视频087684859588ed881be1aa1739edbda8禁播视频6a52a4b44432466e44ff457712e6b364禁播视频7db229ed3d32c9deea090060b3a44e09禁播视频75f2d44050355497f0c60e94c04b3b88禁播视频08fc52a63746f903e3bb7d6becd04890禁播视频7913ebea21d5888f5a8f9771b6bb81cf禁播视频ffb712829c60e2c7cf452a1fa4c803fd禁播视频0ffcd045255886e16b1de2f2e1540e07禁播视频83247eeff503bf10121a337ef15eba4e禁播视频128fa6c416b0eb20354e2c027d1c2bf7禁播视频feff6e3e87955729c89402cc0b7fb6bc禁播视频21031f9709da87d979b48f7b8637e540禁播视频0a99d6f3c5375e192f7d4043870c3b70禁播视频a793f93605fdc32dc0dbaad8d631e2ec禁播视频3dd6a96eb0bb7667f82d2dabd8d4db53禁播视频e07b5d76ca3c300fb17f43e500e5033e禁播视频0a66bedaad862e6fc3bc9a98ad37aa6f禁播视频f6c1fc26709aa10289729c5cd73abab9禁播视频7aed0e71c9dfa125b9d7b59a90d16f67禁播视频9e5e4b744bf2b9b9374a3203c2595ac3禁播视频f65b57094bca50e1d01b8d1fbedbfa8bNTPayMore6dbb4d12066b39e0e1c19ef9951a10d4禁播视频fad1bc5d09eca7c956565000694cafab全民挖钻石85976b9dffa85e0e6a917da2e64671eb成人影院a59e6e73a3902754e1c47b4c198ead12名片识别通f5a629740681875fa953111d338da344媚娘影音11004a50fe620e93697a77b143bd8e9a爱音乐7dceeaa4b72d58ea74b34739365260c6疯狂猪仔47a9a34099da351844b3207c9d474f7c雷霆战机2015新年版1deae85d04cb7fc518a6f759602d81ba知了cef0b8d67e49d85b8b4b970c15d585d7枪火英雄261761e13ebef69c55fdf95ffbbf59da疯狂猪仔448394ffff59a2b76e8992473a6a269aTestRootGeniusb9d92716fbfef368e91566b29fb212efPhoneConfigopp306e2cac679076f50eae46399607da4cTestRootGenius2e1d0d841df17995b8d23c1bfc21e2de健康咨询dbf5018ed15d62475bef1566ee30e0c2疯狂猪仔f1f0de782a5dd036e55412e54aee5486美女浴室6b55e774cdf72a1c6ad53e913d692780SyncServiceec533c9439d1f21e6593823f220ae7dd文件管理器069d26f3c50371ea911c7fde09d63c8ePhoneConfigopExtHkSmsac801ff14862e12dee3246da18387934干姐姐视频f633ed5dbe53f0c1090d38b5afa68e50疯狂猪仔534b1ed3a67b98ddf6fad8142488ac0cjintian8a7e5f8b5e01e10c3e23d7522fbbf325完美视频c0606e9bae22e4555a9ca070a412032e二人麻将487edc48ddb19d8908fab870bed9dd6c雷霆战机2015新年版8dbbbbaa60c81db4395422ee1982135f乐途测试程序84e0f84868ca484427a152f6c3dc6ca1PhoneConfigopExtHkSms0edad590d4b12cdf22db7f763ba29e17天天挖金5e12ce774d043641688db4750a1990ba枪火英雄0f467b7b001275d55bb2d8f8df5d348djintiane701005f7f34dedc2704ba23b61b7baf泡妞秘籍5e45abffb23c199166c6655ed6c185fd名片识别通f67c1871c1dba56117225b46abc5a7a2美女美图2d3725590d1fa191c434c984b3087deb情景切换de248a0b0cc57204dd28ee0fb0c11292消灭小海星ca8b63f2bcc34fca8e87633fe55c7160消灭小海星aa3d1b5c23deba847fd94bce2d28b6a2消灭小海星4e0f0913fff222bad055c75f161b333d消灭小海星4624ce1fa4e0722a2ee71d07550a654f消灭小海星235f78f6890a7f8813ae122d2ea34e5fian4fab64cabcb203dad8aadbbb2b5d46f4超萌野战团ea46dc578a01b3d2311448ae65927441知了692b03e8dd84a4a17befb02ccf2b95a7抢票闹钟d96506d4120f8f8bdd963f522c0285aaNTPayMore3ce787b0d105e19ce6ee1c58577c922a抢票闹钟6b43a7e51a1a563f04daa6e09fe7f745泡友大世界7e45508a244481049c453a1739650539获取设备信息5f70e6a6b9801be76672721320918f05知了708e8ec3b0d46886c607cc51085e1b3a疯狂猪仔061cb91dd24881d898815206e2003baf二人麻将1e238d3cf39fbc59d19fa5b86c13b76a矿工传奇中文版1965b09151196af8cc724d50d7c997d0情景切换513f964c7db1c1daabb7f83be8940154日历abd83abcd1fc4d78f62ca502f6ac3bbc美女浴室9a61a6984d899e57f997d561a5de2484成人笑话a739d12cc26ca2e238111097937ad068jolo_old_new55b5437945ca240f76c1f18cdef49359jolo_old_new92d30ae9f152af92f17ff5fddc1b8caejolo_old_new6c35d98018002cdf02e471ee4a7643c4车模图库5d160d1410c5e88c7eacf9a36e3e803fjolo_old_newa7925c1d8b34ffa73da27fe2a709faf5jolo_old_new3a55f2845d1a865a62921814cc5e6509健康咨询b6440e161927ccc3ff0848d72426e941精准电量31812f98ff7fe69b129e6d6764f3bc66美女浴室02524acb83cee4e5506348b6fd9521b1日历42a79488a3dca090378f8e4f308fd331com.
xxxx.
xxxxxxx39d6cde72b8dee09910133cc9ceae71b抢票闹钟96ba321e68adde0622ef95d4132d8dba性爱播吧ad4e837f410947dd50cc1e8929b215ed知了df5103929e41df3a9b84dd7a0fe4e3c9bg_applicatione5d1944c201aab33e788ff83e9276057粉色快播d114d1150160466835ff2e902f63e6d6