Android病毒分析实战（一）_android(2)

名称：K7
MD5：D8936BE89057233CA26263CDEDCADA30
SHA1：C4D8CC330F1A59F961AEEC131FD642F46F613253
包名：com.k7.qq2856437148

大家看到这个样本名称，可能疑惑，这样一个名称是怎么传播的，为什么会有人安装。当然，这样一个名称的app不会直接分发到受害者，而是依附于某些插件，游戏辅助工具等一系列比较热门的软件来传播。

锁屏主要方式

• 利用设备管理器权限，直接用系统提供的api修改
• 利用root权限和锁屏密码算法直接修改系统锁机密码文件内容

而这两种方式操作完成之后都需要重启设备生效，而对于这两种方式各有利弊，不过针对于一些游戏外挂root权限一般都是具备的，所以第二种是最优方案。而对于一些普通恶意应用root权限很少，可以利用第一种方式进行操作是最优方案。

样本分析

前期工作

我们拿到样本后可以按照我们上篇文章[[Android病毒分析基础（一）]]写的步骤来快速看看样本具体有哪些恶意行为，有哪些关键点，方便我们后续详细分析。

从上述扫描结果可以看到样本的主要的危险行为就是添加悬浮窗口，即我们通俗的说法“全屏弹窗锁屏”。
在线分析报告：https://habo.qq.com/file/showdetail?pk=ADcGbl1kB2cIOFs4U2M%3D#runphoto

运行界面

代码分析

关键文件

拿到反编译后的代码，我们首先要看的就是Manifest文件，看看有什么权限，Application、MainActivity、一些service、receiver等。

接下来我们进入MainActivity，可以看到启动了K7类，直接看K7。

第一层锁机

在K7中直接实现了全屏弹窗，即第一层锁屏界面。可以看到k7参数即使我们第一层解锁的密码。我们直接用AS抄一下代码后跑一下，就能拿到解锁密码。

第二层锁机

解锁后我们进入第二层锁机界面，还是一样，我们直接拉代码跑一下即可，但是这里要注意一下，他把锁机界面上的随机数转换成了文字，就是简单的数字和文字对应关系方法。

数字和文字对应关系：

第三层锁机

解锁后我们进入第三层，直接上代码：

通过一顿复制粘贴改代码，终于我们解锁成功，卸载并删除了这个锁机样本。

锁机软件解锁方法

第一种方法：

用另一部手机打电话给那部被锁的手机，然后出现接电话那个界面，然后马上退出到桌面，找到锁机软件直接删了（速度要快，仅部分锁机软件有效）。

第二种方法：

长按电源键，强制重启手机，在手机重启开机成功后马上输入密码进入手机桌面，迅速找到锁机软件马上卸载了（速度要快，仅部分锁机软件有效）。

第三种方法：不同手机不同系统版本位置不同

教大家用ADB来删除密码：

1、手机连接电脑，在充电模式下进行。

2、去百度搜索下载ADB.rar 解压到某目录。

3、在该目录搜索框直接输入cmd， 依次输入命令：

adb shell 

su

cd data/system

ls

可以看到有一个pass*.key和一个gesture.key的文件,这个就是密码的文件,我们就是把这个给删除就可以了！ 最后输入命令： rm pass*.key（如果是PIN解锁就这个） 或者rm gesture.key（如果是手势解锁就这个） 输入reboot或手动重启手机生效。(其实,不用重启也可以的了,直接解锁,密码怎么滑都对,最好还是重启一下.)

第四种方法：

恢复出厂值。操作前注意重要数据要备份哦！（ 操作步骤如下：

• 1.关闭手机
• 2.按 音量上+开机键进入rec模式
• 3.选择恢复出厂值wipe data/factory res
• 4.重启手机

第五种方法：

电脑端连接卓大师，（前提是你的手机开启了USB调试），等安装好驱动，打开卓大师工具箱，里面有清除锁屏密码选项，进去等待重启。

第六种方法:

操作前注意重要数据要备份哦！

重新刷机（你可以只刷入Recovery,然后使用第二种方法，或者干脆整个系统重刷）

手机重启过程中按音量键加或者音量键和开机键不放（一些国产安卓适用）进去双wipe，则可以清除锁屏密码，可以用卓大师清除。

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

了95%以上网络安全知识点！真正的体系化！**

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！