AVPasser安卓病毒详细分析报告(韩文版)

악성 기능 :

 

1.    사용자의 메시지,통화기록,사진,탈취및 통화록음,앞카메라 이용하여 사용자

 몰래 촬영 등 정보를악성앱 제작자가 지정된 서버에 업로드 한다.

 

2.     중국 로컬 모바일 백신 우회 기능.

 

 

APKTool실행(java파일, xml , image , db 등 추출)

/assets/deamon.apk : 설치후 루트(root)권한을 얻고 다른 프로그램을 설치 또는 삭제 한다.

/assets/urlconfig.txt -> http://218.86.88.177:9000/  : 사용자 개인정보를 악성앱 제작자가 지정된 서버에 업로드 한다.

 

아래의 코드는 AndroidManifest.xml 내용입니다.

악성앱 설치후 아래의 그림과 같이  3개의 아이콘이 보입니다.

 

1. 360백신 위장

2. Tecent QQ 프로그램 위장

3. 시스템업데이트 프로그램 위장

 

com.lge.clock.MainActivity – 실행 아이콘 3개

설치후 3개의 앱에서 의미로선택하여 실행하면 관리자 권한 요구 및

런처에서 3개의 아이콘을 모두 숨기고 서비스 시작합니다.

소스 분석:

com.lge.clock.SystemService 

 

-사용자 메시지,통화기록,사진을 감시하여 악성앱 제작자가 지정해놓은 서버에 업로드 한다.

중국 로컬 모바일 백신 우회 기능.

 

com.lge.clock.receiver.InstallReceiver

 

- 백신 프로그램이 있는지 체크한후 있으면 아래의 우회 기능 서비스 실행.

com.lge.clock.g.b  - 

탠센트 모바일 백신 데이터베이스 수정:

금산 모바일 백신 데이터베이스 수정:

360 모바일 백신 데이터베이스 수정 :

악성앱에서 우회할수 있는 모든 중국로컬 모바일 백신 프로그램 패키지명:

 

"com.noshufou.android.su"

"com.miui.uac"

"com.lbe.security.miui"

"com.lbe.security"

"com.tencent.qqpimsecure"

"com.lbe.security.lite"

"com.baidu.security"

"com.ijinshan.mguard"

"com.ijinshan.duba"

"project.rising"

"com.nqmobile.antivirus20"

"com.netqin.mobileguard"

"com.qihoo360.mobilesafe"

 

 루팅된폰에서만우회기능이가능합니다.