权限杀手新变种分析报告

  • A+
所属分类:移动安全

概述

2013年,ROM级内嵌手机病毒“权限杀手”曝光,该病毒通过删除其他应用获取系统ROOT所使用的关键文件,达到自己不被其他应用获取系统ROOT删除的目的,进而实施一系列作恶行为。通过云数据分析,该木马在近一年多的时间持续活跃,并且在2015年上半年突然爆发。

此次爆发的权限杀手最新变种,其系统模块、作恶手段均有所改进。通过调查分析,木马主要内嵌在手机ROM中通过刷机网站快速传播,此外还包括部分水货手机用户,到目前为止,国内受影响用户达50万之多,其中超过60%是近半年内新受到感染的用户。

到目前为止,国内刷机市场累计有接近300 个ROM预置了该木马,数量还在进一步增加,其中超过80%的ROM是今年上半年发布的。

权限杀手新变种分析报告

这些ROM主要影响的手机品牌包括三星、联想、华为、酷派、小米、HTC等,几乎涵盖了所有市场主流的Android手机品牌。

权限杀手新变种分析报告

我们对权限杀手手机病毒影响地区进行分析,发现该病毒除了主要感染国内用户外,全球范围的手机用户也有感染的迹象,对国外用户的感染主要集中在三星品牌的手机中

权限杀手新变种分析报告

权限杀手国内用户感染分布

图上可以看到,国内用户感染最严重的地区出现在两广地区,该地区也是国内水货手机和刷机用户最集中的地区。

权限杀手新变种分析报告

权限杀手国际用户感染分布

图上可以看到,国际用户感染最严重的出现在印尼和土耳其地区。

分析

权限杀手会删除手机的授权管理文件,阻止其他应用获取ROOT授权,保证自身不被安全应用删除,同时进行下载、推广、刷流量等恶意行为。在最新变种中,木马主要包括3个模块:

权限杀手新变种分析报告

PageViwer和searchcone是预置在ROM中的模块,PageViwer通过注册监听BOOT_COMPLETED和CONNECTIVITY_CHANGE的系统广播,完成恶意代码的启动。

权限杀手新变种分析报告

PageViwer消息注册

PageViwer启动之后会收集用户手机信息,将信息发送至远端服务器,服务器根据手机信息判断需要分发的云端指令,PageViwer接收指令并完成指令解析。此后,PageViwer会将指令推送至searchcone模块执行,并下载启动Markserv模块。

权限杀手新变种分析报告

PageView接收的云端指令格式

searchcone是预置在ROM的另一个模块,该模块主要负责指令的执行,它首先会检测输入参数,在参数正确的情况下获取ROOT权限,最后执行命令。

权限杀手新变种分析报告

权限杀手新变种分析报告

searchcone命令列表

Markserv是PageViwer下载的一个模块,由searchcone进行安装执行,但在部分ROM中,我们也发现了被预置的情况存在。

Markserv功能有:

1. 执行创建桌面快捷方式;
2. 清空自身程序数据;
3. 停止自身程序;
4. 刷流量,打开指定的网页;
5. 启动腾讯广点通广告;
6. 启动AdMob广告;
7. 发送短信;
8. 屏蔽短信;
9. 添加书签(最新版本添加的功能);

在权限杀手整个进化过程中,不可忽视的一点是,从早期将searchcone的文件名硬编码到APK中不同,最新版本的权限杀手,已经将APK和ELF之间的关联完全切断,APK需要操作的ELF文件名,完全由云端传入。这样,根据当前APK找到对应ELF文件将非常困难,由于ELF功能单一,并且参数检测严格,脱离了APK,很难独立判断黑白,大大降低了ELF模块的查杀率。而APK开发成本低,更新换代快,也大大提高了该木马的生存机会。

ROM认证的问题

“权限杀手”主要通过主流的刷机网站进行传播,据调查结果看到,刷机网站对ROM安全问题的把控能力不容乐观,ROM安全问题令人堪忧。此次内嵌该木马的上百个ROM文件几乎都同时打上了安全认证的标签,使得用户放松了警惕,这也是造成该木马流行传播的主要原因。例如:

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

如上所示,绝大部分预置“权限杀手”木马的手机ROM和以上图片一样,在发布时都带有“已通过腾讯ROM安全联盟认证”的标识,降低了用户的警惕性。

查杀

针对此类问题,我们建议大家从官方渠道购买手机,对于刷机用户,尽量从官方指定的渠道获取手机ROM,对于标注各种认证的手机ROM也不能掉以轻心,同时,也可以联系我们帮忙鉴定ROM的安全性。目前,360手机急救箱全面支持该木马所有变种的查杀与修复,如果您的手机ROM正好在我们发布的问题ROM列表里边,或者经常遇到无故损失流量、扣费等问题,建议到http://www.360.cn/jijiuxiang/下载360手机急救箱进行扫描。

附录

附一:“权限杀手”云控指令

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

附二:预置“权限杀手”的ROM

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

权限杀手新变种分析报告

* 作者/360手机卫士(企业账号)

  • 我的微信
  • 这是我的微信扫一扫
  • weinxin
  • 我的微信公众号
  • 我的微信公众号扫一扫
  • weinxin

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: