1.样本信息
MD5:3C42C391BEC405BB28B28195C2961778
包名:com.android.market
应用名:Update.Android
安装图标:
2.样本描述
该样本仿冒成系统更新应用,对用户进行诱骗及信息窃取。主要行为开机自启动,伪造系统通知,诱导用户激活设备管理器,当中途取消激活时锁定屏幕,禁用屏幕锁定的方式强迫使用户激活。运行后隐藏图标加以激活了设备管理器,使被攻击者难以卸载。样本还具有免杀功能,遍历正在应用列表,当发现Kaspersky Mobile Security或Avast或DR.web杀毒软件时,杀掉软件进程以免被杀,打开google play应用时,界面劫持为输入银行卡号界面,诱骗用户输入个人信息。同时与控制端进行交互,根据c2下发的指令,对设备进行操作,包括发送短信记录,电话记录等,具有隐私窃取及远程控制等恶意行为。
3.样本详细分析
行为分析
开机自启动
开启多个服务
Schedule服务注册定时任务,NetworkController来控制与c2服务器交互问题,通过interval来设置间隔时间.
隐藏应用图标
伪造的系统Notification
关闭系统自带的锁屏服务,启用自己的锁屏服务,达到禁用屏幕锁定的目的。
设置屏幕等配置数据。
诱导用户激活设备管理器
如果没激活就禁用home键,激活了就退出当前界面
重写onDisableRequested,当点击取消激活时,阻止用户取消激活,达到防卸载的目的。
获取已安装的应用列表及正在运行应用列表,遍历列表当包含杀毒软件Kaspersky Mobile Security或Avast或DR.web 时,就杀掉该进程。
禁止拨打号码
禁止向外拨打8005555550,4955005550;
号码归属地:俄罗斯Sberbank且为免费电话
也禁止接听此号码
界面劫持
当打开google应用时,劫持界面诱骗用户输入信用卡号
伪造输入银行卡号的界面
C&C交互
通过NetworkController与服务器交互
获取用户imei,电话等设备信息发送至服务器
与服务器进行请求交互“http://quick-sshopping.com/p/gate.php”,现在该服务器已失效
获取服务器json格式的远控指令,对现有设备信息攻击操作
获取浏览器历史记录
获取短信记录
获取通话记录
C&C返回控制端指令
指令 | 返回控制端释义 |
---|---|
401 | 发送设备信息至c2,验证应用存活性 |
call_log | 获取通话记录发送至c2 |
sms_history | 获取短信发送至c2 |
browser_history | 获取浏览器记录发送至c2 |
url | 访问url |
server | 更换c2服务器 |
intercept | 文件拦截加密 |
server_poll | 更新从服务器获取命令的时间间隔 |