80万用户感染伏地虫病毒 获取root恶意下载、窃隐私盗资金

0X01 病毒背景及危害
伏地虫病毒程序，是一款危害及其严重的手机恶意程序。此病毒所采用的技术非常高超，能够自动获取用户手机设备的Root权限，拥有了Root权限，该病毒就可以在手机设备上为所欲为，比如下载恶意程序，泄露用户隐私信息，盗走网银账户等等。该病毒会自带root方案，方案数量多达26个，基本覆盖了绝大多数android漏洞提权的内容。通过病毒的感染方式和恶意行为，可以判定制造这个病毒不是一个“个人行为”，该恶意程序的背后，有一个“强大”的团队在运作。
    下图是近一个月来，腾讯手机管家监测到的伏地虫病毒的感染数据，每日均有数以万计的新增量，可以看出伏地虫病毒的传播速度之快，尤其是在周末会出现病毒感染的高峰。截止目前，已有近80万的手机用户感染了伏地虫病毒，严重影响了用户的正常生活，甚至造成财产损失，下面对伏地虫病毒的原理和恶意行为进行深度的分析。
 
0X002 病毒行为分析
此病毒母体一般都是寄生在一些色情应用中，一旦用户被诱导下载安装这些病毒，病毒就找到了寄生体，用户即使卸载掉安装的应用，病毒母体仍然无法被卸载，即使采用市面上常用的安全软件也无法彻底清除此病毒。并且每次手机开机，病毒都会自动启动，也无法通过恢复出厂设置来达到根除病毒的目的。本文所所描述的病毒母体附属在一款名为流量分析的应用软件中，如下图所示：

   
一旦流量分析软件被用户触发，病毒母体程序马上开始发作，会疯狂地给用户下载其它第三方程序，这些程序包括正版的推广软件，也包括其他的恶意软件、色情软件等。如下图所示：

        
除了推广正常的常用应用软件，同时也会推广一些恶意广告软件，频繁在用户手机上弹出广告，广告包含但不限于以下几种：
1. 整屏弹窗
2. 半屏弹窗
3. 通知栏弹窗
4. 窗口悬浮，包括置顶和置底。
这些弹窗广告，严重影响用户正常使用手机，如果不点击广告，广告页面一直处于屏幕最上层，遮住正常应用软件，使得用户软件无法正常运行，比如专杀工具的查杀按钮，如果被广告页面遮住，用户就无法运行查杀功能。