三层锁机病毒的层层逆向剖析

最新推荐文章于 2023-08-20 16:08:59 发布

onejane

最新推荐文章于 2023-08-20 16:08:59 发布

阅读量1.8k

点赞数 2

分类专栏： APP及JS高级逆向文章标签： frida objection android

本文链接：https://blog.csdn.net/welggy/article/details/114173486

版权

APP及JS高级逆向专栏收录该内容

13 篇文章 7 订阅 ¥69.90 ¥99.00

订阅专栏

超级会员免费看

病毒症状

adb install yry-1.0.apk 启动app后，不忍直视，症状如下：

背景图片和背景音乐极其不健康
音量被调到最大，循环播放，且无法关闭
屏幕被锁定，无法进行任何操作
usb断开，adb无法使用
开机自动启动
手机持续震动

通过移动安全数据平台检测得知app开启了以下权限

在这里插入图片描述

不解释连招

打开源码分析，好家伙吗，我直接好家伙！！！充满了对家人的亲切问候，名字挺好听，人干的事一点都不沾边。
在这里插入图片描述

气的我又买了个手机，重新装上该app，上去就是frida+objection+jeb+jadx动静态分析一套不解释组合连招直接带走。

静态分析

通过jadx反编译AndroidManifest.xml中看到大片的uses-permission申请权限，以及对广播的receiver中申请的action，用于监听广播自启动调用action，妙啊，后续一系列的实现广播监听就是罪魁祸首。

在这里插入图片描述

不同反编译软件要结合着看，同一个软件不同版本可能结果都不一样，比如jeb3中将解锁加密逻辑判断为

if(颜如玉QQ2693533893.getSaltMD5(MyServiceOne.颜如玉(v2.substring(0, 3))) + v2.substring(3, v2.length()).equals("9DDEB743E935CE399F1DFAF080775366" + v3_1))

不能说逻辑严密吧，可以说是狗屁不通,字符串+布尔值居然还能放到if条件里，giao！！！

FloatViewUtil UI工具类
MainActivity 入口
MyBroadcast 继承自BroadcastReceiver实现启动时调用onReceive
MyServiceOne 加解密服务类
UsbLock 锁死usb接口

动态分析

1.如何做到adb找不到设备，直接断开连接，无法hook动态分析，也没法DDMS？

UsbLock继承自TimerTask，在重新run方法中执行一句话命令Process exec = Runtime.getRuntime().exec("setprop persist.sys.usb.config none");

方案一：apktool解包后修改smali源码注释掉这行smali指令并编译重打包，keytool制作秘钥库，apksigner重签名安装。

apktool d yry-1.0.apk  解包
cd yry-1.0/smali/com/shimeng/诗梦 && vim USBLock.smali 干掉这一行
const-string v10, "setprop persist.sys.usb.config none"
apktool b yry-1.0  回编译
cd yry-1.0/dist && keytool -genkey -alias abc.keystore -keyalg RSA -validity 20000 -keystore abc.keystore  制作秘钥
jarsigner -verbose -keystore abc.keystore -signedjar new_yry.apk yry-1.0.apk abc.keystore  重签名安装new_yry.apk

方案二：实现安装上termux，启动好frida即可

adb push frida-server-14.2.8-android-x86 /data/local/tmp  赋予最高权限 
adb install com.termux_92.apk   
cd /data/local/tmp && chmod 777 * && ./frida-server-14.2.8-android-x86 -l 0.0.0.0:8888  启动frida
pyenv local 3.8.5   切换py版本,保证objection frida版本对应
frida-ps -H 192.168.0.104:8888 | grep shimeng   查找进程确实存在
objection -N -h 192.168.0.104 -p 8888 -g com.shimeng.qq2693533893 explore  开启内存分析
android hooking list classes

2.如何做到无法关闭音量，循环播放富强民主文明和谐的音乐？

android hooking list services   拿到可hook的方法
android hooking list receivers

在这里插入图片描述

plugin wallbreaker classdump com.shimeng.qq2693533893.MyServiceOne --fullname  内存漫游可视化这两个类的源码结构
plugin wallbreaker classdump com.shimeng.qq2693533893.MyBroadcast --fullname

在这里插入图片描述

android hooking watch class com.shimeng.qq2693533893.MyServiceOne 通过hook类MyServiceOne 发现MyServiceOne.access$L1000018一直被反复调用

在这里插入图片描述

android hooking watch class_method com.shimeng.qq2693533893.MyServiceOne.access$L1000018 --dump-backtrace 我们开始hook该内部类并打印调用栈，发现调用栈上层反复调用com.shimeng.qq2693533893.MyServiceOne.access$100000007.run，想必这就是为什么循环播放的原因了，瞄一波反编译源码，soga，该线程获取到系统audio服务后setStreamVolume调高最大音量，vibrator持续震动。

class 100000007 implements Runnable {
    private final MyServiceOne this$0;

    static MyServiceOne access$0(100000007 arg4) {
        return MyServiceOne.this;
    }

    @Override
    public void run() {
        MyServiceOne.this.hand2.postDelayed(this, 1800L);
        AudioManager v1 = (AudioManager)MyServiceOne.this.getSystemService("audio");
        v1.setStreamVolume(3, v1.getStreamMaxVolume(3), 4);
        v1.getStreamMaxVolume(0);
        v1.getStreamVolume(0);
        v1.getStreamVolume(0);
        Vibrator v4 = (Vibrator)MyServiceOne.this.getApplication().getSystemService("vibrator");
        long[] v5 = new long[4];
        new long[4][0] = 100L;
        v5[1] = 1500L;
        v5[2] = 100L;
        v5[3] = 1500L;
        v4.vibrate(v5, -1);
    }
}

3.如何做到锁屏无法退出？

之前初步分析到疑似UI工具类FloatViewUtil ，在MyServiceOne的m2() sm() sm2()中反复调用，使用frida主动调用FloatViewUtil.removeView() 去掉了锁屏界面，留下空白界面，那么这个空白界面才是真正的activity。

在createfloatview中调用了this.wm.addView(this.v, this.w);，原来是借助WindowManager显示一个全屏置顶的浮窗锁定了屏幕，public void addView(View view, ViewGroup.LayoutParams params);用this.w封装参数flags判断是否取消悬浮窗，每次触摸屏幕调用OnTouchListener后更新this.this$0.wm.updateViewLayout(view2, this.this$0.w);，保持原样，所以锁屏无法操作，除了调用系统库WindowManager.removeView()别无他法。

4.如何做到开机启动并关闭也能复活？

之前分析AndroidManifest.xml时发现MyBroadcast继承BroadcastReceiver监听了BOOT_COMPLETED启动方法实现onReceive。其中通过if (intent2.getAction() != null) {实现context4.startService(intent5),通过if (Intent.ACTION_SCREEN_ON.equals(intent2.getAction()) && intent2.getAction() != null) {实现context5.startActivity(intent7)，startService启动的service进程用户不可见，且不会被杀死，除非系统内存不足以保持前台进程和可视进程，这也太tm适合做自启服务了！！！当主动调用拿掉app的强制悬浮时，看到后台依旧有一个MyServiceOne服务偷偷运行，强制kill该进程后，果然不会再次复活了。哦！原来这就是惊喜啊！

KO

这个已经被我们开膛破肚了，但是好像从开发角度分析没有太多成就感，那么就硬肛吧！！！伤害高而且侮辱性极强！！！

之前hook MyServiceOne打印出了内存中所有的类名，由于输入密码需要点击那么就需要onClick，搜索jeb2中发现100000002，100000003，100000006三个匿名内部类中实现了View$OnClickListener的onClick方法，那么先从100000002开肛吧！

一层解锁

@Override public void onClick(View arg15) {
    100000002 v0 = this;
    String v2 = v0.val$editText.getText().toString();
    if(v2.length() >= 3) {
        String v3 = MyServiceOne.颜如玉(颜如玉QQ2693533893.getSaltMD5(new StringBuffer().append("").append(v0.val$诗梦).toString())).replaceAll("\\D+", "");
        if(v3.length() > 9 && v3.length() > 3) {
            if(new StringBuffer().append(颜如玉QQ2693533893.getSaltMD5(MyServiceOne.颜如玉(v2.substring(0, 3)))).append(v2.substring(3, v2.length())).toString().equals(new StringBuffer().append("9DDEB743E935CE399F1DFAF080775366").append(v3.substring(0, 9)).toString())) {
                v0.this$0.util.removeView();
                v0.this$0.sm2();
            }
            else {
                --v0.this$0.L;
                ++v0.this$0.B;
                v0.val$lpo.setText(new StringBuffer().append(new StringBuffer().append(new StringBuffer().append(new StringBuffer().append(new StringBuffer().append("很抱歉！密码错误解锁请加QQ群:437732815联系管理员购买正确的密码解锁...密码以错").append(v0.this$0.B).toString()).append("次！").toString()).append("还剩").toString()).append(v0.this$0.L).toString()).append("次输入错误密码的机会").toString());
                if(v0.this$0.L <= 0) {
                    v0.val$lpo.setText("本次输入密码错误次数累计以达10次,请重启手机后获取输入密码机会！");
                    v0.val$button.setVisibility(8);
                    v0.val$textView2.setVisibility(8);
                    v0.val$editText.setVisibility(8);
                    v0.val$a00.setVisibility(8);
                    v0.val$b00.setVisibility(8);
                    v0.val$c00.setVisibility(8);
                    v0.val$d00.setVisibility(8);
                }
            }
        }
    }
}

使用jeb2反编译拿到100000002中解锁的逻辑，那么v2必定是我们输入的字符串，当长度大于3时调用MyServiceOne.颜如玉方法，那么就hook这个颜如玉

android hooking watch class_method com.shimeng.qq2693533893.MyServiceOne.颜如玉 --dump-args --dump-backtrace --dump-return

在这里插入图片描述

打印调用栈果然调用了onClick方法，页面弹出很抱歉！密码错误解锁等恰好是onClick中解锁失败返回的信息

在sm()方法中拿到生成识别码的逻辑，跟进去原来是随机四位数做了火星文对应，在100000002构造函数中this.val$诗梦 = arg17;就是随机四位数v11 ^ 1288，，所以才显示在前台页面是火星文，那么我们首先通过hook颜如玉QQ2693533893.get()拿到四位数对应的该火星文。

int v11 = ((int)(Math.random() * (((double)9876))));
v4.setText(new StringBuffer().append("你的识别码=").append(颜如玉QQ2693533893.get(new StringBuffer().append("").append(v11).toString())).toString());
v3.setOnClickListener(new 100000002(this, v5, v11 ^ 1288, v6, v3, v4, v7, v8, v9, v10));

接着分析onClick方法可知随机四位数被作为参数给了getSaltMD5,那么我们可以通过反射和四位数拿到v3的值。

String v3 = MyServiceOne.颜如玉(颜如玉QQ2693533893.getSaltMD5(new StringBuffer().append("").append(v0.val$诗梦).toString())).replaceAll("\\D+", "");
if(new StringBuffer().append(颜如玉QQ2693533893.getSaltMD5(MyServiceOne.颜如玉(v2.substring(0, 3)))).append(v2.substring(3, v2.length())).toString().equals(new StringBuffer().append("9DDEB743E935CE399F1DFAF080775366").append(v3.substring(0, 9)).toString())) {
    v0.this$0.util.removeView();
    v0.this$0.sm2();
}

frida脚本编写如下：

function stage1(){
    Java.perform(function(){
        var javaString = Java.use('java.lang.String')

        for(var i=999;i<10000;i++){
            var i_str = javaString.$new(String(i));
            var recogCode = Java.use("com.shimeng.颜如玉.颜如玉QQ2693533893").get(i_str);
            var final_last9 = Java.use("com.shimeng.qq2693533893.MyServiceOne").颜如玉(Java.use("com.shimeng.颜如玉.颜如玉QQ2693533893").getSaltMD5((javaString.$new(String(i^1288)))));
            var final_final_last9 = javaString.$new(final_last9).replaceAll("\\D+", "");

            console.log("i_str,recogCode,final_final_last9:",i_str,recogCode,final_final_last9);
            if (recogCode == "©©/÷"){ // 5147
                break;
            }
        }

    })
}

frida -H 192.168.0.104:8888 -f com.shimeng.qq2693533893 -l yry.js 并运行stage1()拿到四位数,火星文,加密串对应关系

i_str,recogCode,final_final_last9: 5582 ©©※÷ 95207171906204966108845772
i_str,recogCode,final_final_last9: 5583 ©©※∷ 39716345426943642188517
i_str,recogCode,final_final_last9: 5584 ©©※● 5796073015486055711181
i_str,recogCode,final_final_last9: 5585 ©©※© 4182232792980711126331187
i_str,recogCode,final_final_last9: 5586 ©©※额 99099593856461775560719982
i_str,recogCode,final_final_last9: 5587 ©©※★ 19863461630870460433322044
i_str,recogCode,final_final_last9: 5588 ©©※※ 9011175927236532778650
i_str,recogCode,final_final_last9: 5589 ©©※/ 132271537343570495458138
i_str,recogCode,final_final_last9: 5590 ©©/嘻 7083188607268447436716
i_str,recogCode,final_final_last9: 5591 ©©/❥ 61563069152823766973923722
i_str,recogCode,final_final_last9: 5592 ©©/÷ 50084396538178613588090863

接着分析这个equals大长串,很明显前面字符串md5(颜如玉(输入串(0,3)))+输入串(3,).equals(“9DDEB743E935CE399F1DFAF080775366”+加密串前9位)

众所周知，MD5是128位二进制位，一位16进制数=4位二进制数，以16进制显示为32位字符串，那么md5(颜如玉(输入串(0,3))) === “9DDEB743E935CE399F1DFAF080775366”，且输入串(3,)=加密串前9位。

通过剥离反编译后的算法，拿到输入串前3位为358，加上输入串(3,)即加密串前9位500843965===》输入串v2=358500843965 一giao我里giaogiao

二层解锁

giao中计了

在这里插入图片描述

耐心分析，原来只是故技重施，雕虫小技而已，随机数从四位变成了五位，加密方法修改了下而已。

String v3 = 颜如玉QQ2693533893.hex_sha1(MyServiceOne.破解死妈.getTwiceMD5ofString(new StringBuffer().append("").append(v0.val$u2).toString())).replaceAll("\\D+", "");
if(v3.length() > 9 && v3.length() > 3 && (new StringBuffer().append(MyServiceOne.破解死妈.getTwiceMD5ofString(颜如玉QQ2693533893.hex_sha1(v2.substring(0, 3)))).append(v2.substring(3, v2.length())).toString().equals(new StringBuffer().append("8D4FF507DCDA63C201EB8B99D4170900").append(v3.substring(0, 9)).toString()))) {
    v0.this$0.util.removeView();
    v0.this$0.诗梦();
}

同样的方式，修改frida脚本如下：

function stage2(){
    Java.perform(function(){
        var QQinstance = null;
        Java.choose("com.shimeng.颜如玉.颜如玉QQ2693533893",{
            onMatch:function(instance){
                console.log("found instance :",instance);
                QQinstance = instance;
            },onComplete:function(){console.log("search Competed!")}
        })
        console.log("QQinstance is :",QQinstance)

        var javaString = Java.use('java.lang.String')
        for (var i = 9999;i<100000;i++){
            var i_str = javaString.$new(String(i));
            var recogCode = Java.use("com.shimeng.颜如玉.颜如玉QQ2693533893").get(i_str);
            var final_right9 = Java.use("com.shimeng.颜如玉.颜如玉QQ2693533893").hex_sha1(QQinstance.getTwiceMD5ofString(i_str));
            var finalFinalright9 = javaString.$new(final_right9).replaceAll("\\D+", "");
            console.log("i_str,recogCode,finalFinalright9",i_str,recogCode,finalFinalright9)
            
            if (recogCode == "※嘻额❥/"){ // 98074
                break;
            }

        }

    })
}

frida -H 192.168.0.104:8888 -f com.shimeng.qq2693533893 -l yry.js 并运行stage2()拿到四位数,火星文,加密串对应关系

i_str,recogCode,finalFinalright9 80614 ※嘻额❥● 387001687403591151857740
i_str,recogCode,finalFinalright9 80615 ※嘻额❥© 82202783102877783960515732
i_str,recogCode,finalFinalright9 80616 ※嘻额❥额 20062102770068853202687179
i_str,recogCode,finalFinalright9 80617 ※嘻额❥★ 13702574120572139433375947
i_str,recogCode,finalFinalright9 80618 ※嘻额❥※ 681123636848227458618110944
i_str,recogCode,finalFinalright9 80619 ※嘻额❥/ 93184320701127896024850

拿到输入串v2=694931843207 一giao我里giaogiao

三层解锁

giao又双叒叕中计了

在这里插入图片描述

耐心分析，jeb2反编译发现这次不是故技重施，而是要放大招了

@Override public void onClick(View arg12) {
    100000006 v0 = this;
    new Thread(new 100000004(v0)).start();
    if(颜如玉QQ2693533893.hex_sha1("破解死妈").equals(v0.this$0.坐等前往世界的尽头的小船)) {
        v0.this$0.util.removeView();
        new Timer().schedule(new 100000005(v0), ((long)1500));
    }
    else if(颜如玉QQ2693533893.hex_sha1(v0.val$fuck.getText().toString()).equals(v0.this$0.坐等前往世界的尽头的小船)) {
        v0.this$0.util.removeView();
    }
    else {
        v0.this$0.解锁.setVisibility(0);
        v0.this$0.解锁.setText(new StringBuffer().append(new StringBuffer().append("密码错误，手机恢复正常失败").append("/n").toString()).append("Manifest-Version: 1.0Created-By: 1.0 (Android SignApk)").toString());
        v0.this$0.hand3.postDelayed(v0.this$0.runn3, ((long)2000));
    }
}

这次输入的值经过hex_sha1后要和变量v0.this$0.坐等前往世界的尽头的小船一致才行，通过smali插桩打印log重打包或者通过hook String的equals方法得知这个变量居然为空，也就是无论如何也不可能解开了，这局又是逆风局。

smali插桩：

通过Android逆向助手反编译apk中的dex，找到指定方法所在的smali文件，打印变量处添加log，将crack.smali放到com同级目录下，log打印使用方式
输出byte
invoke-static {v*}, Lcrack;->convertByteArrayToString([B)Ljava/lang/String;

输出string
invoke-static {v*}, Lcrack;->log(Ljava/lang/String;)V

输出tag
==Debug-Info==
将classes目录通过Android逆向助手重打包dex，不解压原apk并生成的dex直接替换原apk中的classes.dex并安装改过的apk

全局搜索坐等前往世界的尽头的小船发现这是个全局变量，在内部类100000006的内部类100000004中存在赋值

@Override public void run() {
    100000001 v0 = this;
    100000001 v4 = v0;
    try {
        String v1 = v4.this$0.独自走在孤独的雨中("https://www.lanzous.com/b897189");
        String v2 = v1.substring(v1.indexOf("【"), v1.indexOf("】")).replace("【", "");
        if("".equals(v2)) {
            return;
        }

        v0.this$0.smsOpera(v2);
    }
    catch(Exception v4_1) {
    }
}

独自走在孤独的雨中是一个http请求工具类，返回请求结果，那么打开这个地址需要输入密码，看起来应该是作者会给到倒霉蛋的密码，然后输入即可拿到子串，请求不听的向该地址发送，知道拿到子串后smsOpera发送短信，即可给内存中变量v0.this$0.坐等前往世界的尽头的小船赋值，那么新机词挖一此莫bai禾多此！

function stage3(){
    Java.perform(function(){
        var javaString = Java.use('java.lang.String')
        var ikey = javaString.$new(String(123456))
        var ikeySign = Java.use("com.shimeng.颜如玉.颜如玉QQ2693533893").hex_sha1(ikey)
        Java.choose("com.shimeng.qq2693533893.MyServiceOne",{
            onMatch:function(instance){
                console.log("found instance",instance)
                instance.坐等前往世界的尽头的小船.value = ikeySign;
            },onComplete(){console.log("search completed!")}
        })
    })
}

frida -H 192.168.0.104:8888 -f com.shimeng.qq2693533893 -l yry.js 并运行stage3()利用frida在内存中给坐等前往世界的尽头的小船进行赋值，再输入123456，终于解锁。

onejane

关注

2
点赞
踩
8

收藏

觉得还不错? 一键收藏
打赏
0
评论
三层锁机病毒的层层逆向剖析

换不锈钢脸盆adb install yry-1.0.apk 启动app后，场面异常血腥，不忍直视。背景图片和背景音乐极其不健康，心里默念富强民主文明和谐自由平等公正法治爱国敬业诚信友善音量被调到最大，循环播放，且无法关闭屏幕被锁定，无法进行任何操作usb断开，adb无法使用开机自动启动手机持续整栋通过移动安全威胁数据平台检测得知app开启了以下权限不解释连招打开源码分析，好家伙吗，我直接好家伙！！！充满了对家人的亲切问候，名字挺好听，人干的事一点都不沾边。气的我又买了个手机，
复制链接

扫一扫