9055

木馬利用短信感覺受害者通信錄中好友.利用"看你做的好事","看你做的齷齪事"等語句誘導用戶安裝.

開始分析木馬,首先查看其Manifest文件.從其申請短信/聯系/聯網的權限來看已經可以基本確認這是一款短信攔截馬,貌似沒啥新意不過可以從中發現一些以前沒有的細節.感覺這個木馬還是挺用心的。

首先是installLocation屬性的設置.

android:installLocation="internalOnly"

設置這個屬性的目的是不讓木馬 app 被安裝到 sdcard 中.因為如果 app 被安裝 sdcard 中而非手機內置存儲的話會失去以下特性導致木馬的功能不健全

系統會在加載外部存儲介質之前發送ACTION_BOOT_COMPLETED廣播,所以程序將不能接受開機廣播 (無法開機啟動)
DeviceAdminReceiver失效 (無法激活設備管理器防止卸載)
Service無法正常工作,會被 kill 且無法 restart (無法在后臺持續運行)
Alarm Service 鬧鐘服務將被取消 (減少一個入口點)

第二個有意思的點 excludeFromRecents 是在 activity 標簽中設置的.

android:excludeFromRecents="false"

這樣設置的目的是不讓木馬 app 現在在最近程序列表中減少被普通用戶發現的概率.類似處理還有將此 Activity 在代碼中 disable

第三個特點是隨機字符串包名

package="tjkxyfmjhvdg.oprbrvvgeevv.uxqjjuqxympd"

要抓取幾個樣本后發現,包名是隨機的字符串,但是代碼特助以及簽名都是一樣的.應該是通過程序自動生成的,猜測目的是躲避一些殺軟.

繼續觀察程序入口點: 1.主Activity,用戶點一次后將會被禁用

    <activity android:excludeFromRecents="false" android:label="@string/app_name" android:name="com.phone.stop.activity.MainActivity">
        <intent-filter>
            <action android:name="android.intent.action.MAIN" />
            <category android:name="android.intent.category.LAUNCHER" />
        </intent-filter>
    </activity>

功能老幾樣:

禁用Main Activity組件隱藏圖標
激活設備管理器,防止卸載
短信通信木馬使用者肉雞已經上線.
異步郵件發送受害者通信錄以及短信記錄
啟動后臺服務實時監控短信

sevice 的主要功能是

動態注冊短信廣播接收器和觀察這
被destory后自動啟動
判斷木馬是否過期.(這點顯然可以看出,使用木馬的人是從它處購買的木馬,還有有效期的)

其他入口點: 2.開機廣播 3.網絡切換廣播 4.短信相關廣播 ,總計4處可以觸發攔截馬行為.

    <receiver android:name="com.phone.stop.receiver.BootReceiver">
        <intent-filter android:priority="2147483647">
            <action android:name="android.intent.action.BOOT_COMPLETED" />
            <action android:name="android.net.conn.CONNECTIVITY_CHANGE" />
            <action android:name="android.provider.Telephony.SMS_RECEIVED" />
            <action android:name="android.provider.Telephony.GSM_SMS_RECEIVED" />
            <action android:name="android.provider.Telephony.SMS_RECEIVED_2" />
            <action android:name="android.provider.Telephony.SMS_DELIVER" />
        </intent-filter>
    </receiver>

短信廣播接收器和觀察者的代碼就不貼了,發出的郵件是這樣的: