【andorid-malware】- 劫持信用卡

1.样本信息

MD5：3C42C391BEC405BB28B28195C2961778
包名：com.android.market
应用名：Update.Android
安装图标：

2.样本描述

该样本仿冒成系统更新应用，对用户进行诱骗及信息窃取。主要行为开机自启动，伪造系统通知，诱导用户激活设备管理器，当中途取消激活时锁定屏幕，禁用屏幕锁定的方式强迫使用户激活。运行后隐藏图标加以激活了设备管理器，使被攻击者难以卸载。样本还具有免杀功能，遍历正在应用列表，当发现Kaspersky Mobile Security或Avast或DR.web杀毒软件时，杀掉软件进程以免被杀，打开google play应用时，界面劫持为输入银行卡号界面，诱骗用户输入个人信息。同时与控制端进行交互，根据c2下发的指令，对设备进行操作，包括发送短信记录，电话记录等，具有隐私窃取及远程控制等恶意行为。

3.样本详细分析

行为分析

开机自启动

开启多个服务
Schedule服务注册定时任务，NetworkController来控制与c2服务器交互问题，通过interval来设置间隔时间.

隐藏应用图标

伪造的系统Notification

关闭系统自带的锁屏服务，启用自己的锁屏服务，达到禁用屏幕锁定的目的。
设置屏幕等配置数据。

诱导用户激活设备管理器

如果没激活就禁用home键，激活了就退出当前界面

重写onDisableRequested，当点击取消激活时，阻止用户取消激活，达到防卸载的目的。

获取已安装的应用列表及正在运行应用列表，遍历列表当包含杀毒软件Kaspersky Mobile Security或Avast或DR.web 时，就杀掉该进程。

禁止拨打号码
禁止向外拨打8005555550，4955005550；
号码归属地：俄罗斯Sberbank且为免费电话

也禁止接听此号码

界面劫持
当打开google应用时，劫持界面诱骗用户输入信用卡号


伪造输入银行卡号的界面

C&C交互
通过NetworkController与服务器交互
获取用户imei，电话等设备信息发送至服务器

与服务器进行请求交互“http://quick-sshopping.com/p/gate.php”，现在该服务器已失效

获取服务器json格式的远控指令，对现有设备信息攻击操作

获取浏览器历史记录

获取短信记录

获取通话记录

C&C返回控制端指令

指令	返回控制端释义
401	发送设备信息至c2，验证应用存活性
call_log	获取通话记录发送至c2
sms_history	获取短信发送至c2
browser_history	获取浏览器记录发送至c2
url	访问url
server	更换c2服务器
intercept	文件拦截加密
server_poll	更新从服务器获取命令的时间间隔