2019年中,卡巴斯基研究人员在安卓智能手机上发现了一起xHelper 木马发起的大规模攻击,但目前该恶意软件仍在活跃。xHelper的主要特征是“杀不死”,一旦安装到手机上,即时用户卸载、删除,甚至恢复出厂设置也无法完全将其从手机中清除。研究人员分析了xHelper 是如何在手机上实现这么彻底的驻留的。
2019-2020年间xHelper 木马攻击数量分析
xHelper工作原理
研究人员首先根据当前木马样本分析了恶意软件家族的逻辑。恶意软件将自己伪装成智能手机的清理和加速工具,但事实上并没有类似的功能。安装后,清理工具就会消失,不会出现在主屏幕或程序菜单中。奇热可以通过检查系统设置中的安装应用列表来查看。
木马的payload在文件/assets/firehelper.jar 中加密。其主要任务是发送受害者的手机信息到https://lp.cooktracking[.]com/v1/ls/get,发送的消息包括厂商、型号、固件版本等。
解密URL发送设备信息
下载另一个恶意模块——Trojan-Dropper.AndroidOS.Agent.of
恶意软件会用附带的本地库解密和启动payload,该方法使得很难分析该模型。在这一阶段,另一个释放器Trojan-Dropper.AndroidOS.Helper