IT技術互動交流平臺

你的應用是如何被替換的 App劫持病毒剖析

作者:阿里移動安全  發布日期:2016-04-19 21:18:18

一.App劫持病毒介紹

App劫持是指執行流程被重定向,又可分為Activity劫持、安裝劫持、流量劫持、函數執行劫持等。本文將對近期利用Acticity劫持和安裝劫持的病毒進行分析。

二.Activity劫持病毒分析

2.1 Activity劫持病毒介紹

Activity劫持是指當啟動某個窗口組件時,被惡意應用探知,若該窗口界面是惡意程序預設的攻擊對象,惡意應用將啟動自己仿冒的界面覆蓋原界面,用戶在毫無察覺的情況下輸入登錄信息,惡意程序在把獲取的數據返回給服務端。

以MazarBOT間諜木馬為例,該類木馬有一下幾個特點:

偽裝成系統短信應用,啟動后請求激活設備管理權限,隨后隱藏圖標; 利用Tor與C&C控制中心進行匿名通信,抵御流量分析; C&C控制中心下發指令進行手機控制、update html、以及信息收集; 通過服務器動態獲取htmlData,然后實施界面劫持,獲取用戶賬號信息;

以下是C&C控制中心指令列表:

我們發現該木馬能接受并處理一套完整的C&C控制指令,并且使用Tor進行匿名網絡通信,使得流量數據的來源和目的地不是一條路徑直接相連,增加對攻擊者身份反溯的難度。結下來我們將詳細分析該木馬界面劫持過程。

2.2 界面劫持過程分析:

入口梳理首先看到axml文件。WorkerService服務處理C&C控制中心下發的”update html”指令,同時后臺監控頂層運行的Activity,若是待劫持的應用將會啟動InjDialog Acticity進行頁面劫持。

圖axml信息

下圖是后臺服務對頂層Acticity監控過程,若是待劫持應用則啟動InjDialog進行劫持。getTop函數做了代碼兼容性處理,5.0以上的設備木馬也可以獲取頂層Acticity的包名。

圖后臺監控

InjDialog Activity通過webView加載偽造的html應用界面,調用webView.setWebChromeClient(new HookChromeClient())設置html頁面與Java交互,在偽造的Html頁面里調用prompt把JS中的用戶輸入信息傳遞到Java,HookChromeClient類重寫onJsPrompt方法,處理用戶輸入信息,最后將劫持的用戶信息通過Tor匿名上傳到指定域名。

圖劫持用戶信息

圖上傳劫持信息

三.應用安裝劫持病毒分析

3.1安裝劫持病毒介紹

安裝劫持病毒通過監聽android.intent.action.PACKAGE_ADDED和android.intent.action.PACKAGE_REPLACED intent實施攻擊,包括兩種手段,一種是卸載刪除掉真正安裝的apk,替換為攻擊者偽造的應用;另外一種是借用用戶正在安裝的這個消息,悄悄的安裝自己推廣的其他應用。這個過程就像你平時喝的“六個核桃”,某天你居然喝到“七個核桃”。

3.2應用相關信息

該應用是一款名為”FlashLight”的應用,程序包名:com.gouq.light,應用圖標如下:

3.3主要組件分析

.App 應用Application類,加載Assest目錄下加密jar包,獲取接口ExchangeImpl對象,在jar里實現接口函數onApplicationCreate、triggerReceiver、triggerTimerService;啟動核心服務LightService;

.LightService 應用核心服務,可外部調用啟動LightTiService,達到替換進程名,以及am啟動服務以自身保活;

.LightTiService 由LightService啟動,該服務會調用動態加載包里的triggerTimerService接口方法,完成對以安裝應用的刪除、當前設備信息上傳、從服務器下載待安裝應用;

.AppReceiver 廣播接收器,通過加載的jar包里triggerReceiver接口方法實現,處理android.intent.action.PACKAGE_ADDED和android.intent.action.PACKAGE_REPLACED intent查看安裝跟新應用是否是劫持應用,若是通過execCmd進行安裝劫持。

下圖安裝劫持過程,通過監聽應用的安裝和更新,實施關聯的其他應用的靜默安裝。

圖安裝劫持

上圖可以知道此惡意應用借用安裝或更新intent,安裝預設的關聯應用,這樣在安裝完畢后用戶并不清楚哪個是剛真正安裝的應用,這樣增加了推廣應用點擊運行的幾率。

四.怎么有效防治App劫持或安全防護建議

針對企業用戶:

作為一名移動應用開發者,要防御APP被界面劫持,最簡單的方法是在登錄窗口等關鍵Activity的onPause方法中檢測最前端Activity應用是不是自身或者是系統應用。

當然,術業有專攻,專業的事情交給專業的人來做。阿里聚安全旗下產品安全組件SDK具有安全簽名、安全加密、安全存儲、模擬器檢測、反調試、反注入、反Activity劫持等功能。 開發者只需要簡單集成安全組件SDK就可以有效解決上述登錄窗口被木馬病毒劫持的問題,從而幫助用戶和企業減少損失。

針對個人用戶:

安裝阿里錢盾保護應用免受App劫持木馬威脅。

作者:逆巴@阿里移動安全,更多技術文章,請點擊阿里聚安全博客

Tag標簽: 病毒  
  • 專題推薦

About IT165 - 廣告服務 - 隱私聲明 - 版權申明 - 免責條款 - 網站地圖 - 網友投稿 - 聯系方式
本站內容來自于互聯網,僅供用于網絡技術學習,學習中請遵循相關法律法規
彩票联盟网站 烟台市| 汾阳市|