解析主包傳遞的000(m_pkgname)、001(m_class_name)、002(m_sdk_data)、003(libDaemonProcess)、004(1.apk)參數(shù)，利用libDaemonProcess庫服務(wù)?；?，在底層執(zhí)行am startservice啟動(dòng)主包傳遞的service,也就是主包中的com.hostinjectionmain.control.DexService。如下圖。

4.2 下載“下載者”病毒

主包004參數(shù)傳遞的應(yīng)用名，并拷貝到設(shè)備sdcard/database目錄命名為5supdate.apk，同時(shí)配置“下載者”病毒相關(guān)文件，存放目錄在sdcard/database目錄下。包括actiondown記錄包名以及啟動(dòng)服務(wù)名、actionsuk應(yīng)用最近一次運(yùn)行時(shí)間、install.ab服務(wù)器推廣應(yīng)用安裝情況、mychannel應(yīng)用渠道，這些文件數(shù)據(jù)全部都AES加密存放。Actiondown記錄下載者病毒包名以及入口服務(wù)。

actiondown:{“downLoadPackageName”:”com.android.ucgmap”,”downLoadVersionKey”:1,”downLoadStartMethod”:”com.android.ucgmap\/com.android.ucgmap.AimService”}

子包動(dòng)態(tài)注冊(cè)監(jiān)聽android.intent.action.PACKAGE_ADDED、android.intent.action.USER_PRESENT消息廣播。處理包安裝完畢消息，若此次安裝包名是actiondown里downLoadPackageName字段記錄的“下載者”病毒，讀取downLoadStartMethod字段啟動(dòng)“下載者”。

使用兩種策略誘騙用戶安裝“下載者”病毒(其應(yīng)用名為update)，一默認(rèn)模式以應(yīng)用更新誘騙用戶點(diǎn)擊安裝；二由服務(wù)器設(shè)置，彈出系統(tǒng)更新誘騙用戶點(diǎn)擊安裝。

4.4 子包自更新

子包的連接并不是直接暴露的，而是做了兩層跳板。配置下一跳轉(zhuǎn)訪問地址http://dispatch.smartchoiceads.com/v2.1/2000，參數(shù)設(shè)備aid、imsi、gaid、mac(wifi)，request和response數(shù)據(jù)全部AES加密。服務(wù)端會(huì)根據(jù)上傳的設(shè)備信息返回次設(shè)備對(duì)應(yīng)的url地址，隨后設(shè)備會(huì)使用該地址下載服務(wù)端推廣的應(yīng)用。 下圖訪問url_1(http://dispatch.smartchoiceads.com/v2.1/2000)返回加密的數(shù)據(jù)，經(jīng)AES解密提取data值獲取當(dāng)前設(shè)備的對(duì)應(yīng)訪問的服務(wù)器地址url_2。

解密后的數(shù)據(jù)為：{“upstream”:”http:\/\/sdk.smartchoiceads.com”}，這樣獲取了下一跳板的地址。 訪問跳板地址，下載、加載和運(yùn)行最新版子包。 訪問服務(wù)器配置的url_2，服務(wù)器同樣返回AES加密數(shù)據(jù)，解密后的數(shù)據(jù)如下：

{“solib_name”:”libDaemonProcess.so”,”download_url”:”http:\/\/u.smartchoiceads.com\/sdk\/HostDex_20160623163035.jar”,”classname”:“com.hostinjectiondex.external.ExternalInterfaces”,”filename”: “dexhostinjection.jar”,”start_method”:“startExternalBody”,”solib_url”:”http:\/\/u.smartchoiceads.com\/sdk\/libDaemonProcess_20160520175142.so”,”stop_method”:“stopExternalBody”,”request_interval”:”1800″,”version”:”8″}。

根據(jù)解密獲取的字段，下載新版本的dexhostinjection.jar包，以及l(fā)ib庫，目前服務(wù)器最新版本dexhostinjection_8.jar。子包通過向主包的DexService發(fā)送com.injection.action.RELOAD_DEX消息意圖，完成子包更新加載。

五、“下載者”分析

子包dexhostinject.jar下載的5supdate.apk存放位置在sdcard/database目錄下，既是“下載者”病毒安裝包，通過應(yīng)用更新或系統(tǒng)更新誘騙用戶安裝，安裝后dexhostinject.jar啟動(dòng)“下載者”導(dǎo)出服務(wù)AimService。“下載者”病毒工作流程圖如下：

5.1 ChatActivity組件，強(qiáng)制激活設(shè)備管理

dexhostinject.jar啟動(dòng)應(yīng)用的參數(shù)會(huì)喚起ChatActivity組件運(yùn)行。ChatActivity進(jìn)行設(shè)備管理激活，一旦用戶激活設(shè)備管理，應(yīng)用將很難被卸載。用戶在取消截獲設(shè)備管理時(shí)，AdminReciver會(huì)進(jìn)行鎖屏操作并跳轉(zhuǎn)到桌面。

5.2 組件AimService

1. 加載target.jar子包，保護(hù)“下載者”核心服務(wù)AimService不死

2. 啟動(dòng)ApsService，組件ApsService是云端推送服務(wù)，注冊(cè)時(shí)鐘廣播每10分鐘發(fā)送廣播轉(zhuǎn)交給ApsAdReceiver處理

3. onStartCommand處理消息意圖，包括：

    a）com.injection.action.RELOAD_DEX，更新target.jar子包；

    b）com.injection.action.stopJobService，停止JobScheduler并進(jìn)程自殺；

    c）-a com.android.startadmin –es isadmin true，喚起ChatActivity組件，進(jìn)行激活設(shè)備管理。該意圖消息是dexhostinject.jar發(fā)送給AimService的。

應(yīng)用下載、安裝和啟動(dòng)由ApsService和ApsAdReceiver聯(lián)合完成。當(dāng)update 應(yīng)用處于后臺(tái)運(yùn)行，并且屏幕處于亮起狀態(tài)，“下載者”向C&C服務(wù)器發(fā)起請(qǐng)求，下圖訪問C&C控制。

“下載者”病毒會(huì)每隔10分鐘訪問http://www.gamecpi.com/tapcash/com.android.ucgmap/control.json，返回?cái)?shù)據(jù)結(jié)構(gòu)如下。

該數(shù)據(jù)結(jié)構(gòu)信息是當(dāng)前推廣應(yīng)用的信息，隨后通過消息handler轉(zhuǎn)交給startAdWork函數(shù)處理。

每隔120分鐘請(qǐng)求控制端下載推廣應(yīng)用，http://www.gamescpa.com/SDKManager/cpa/downloadlink.php?country=cn&packageName=com.android.ucgmapC&C，控制端返回推送的應(yīng)用信息，包括packgae(應(yīng)用包名)、url(應(yīng)用下載鏈接)、size(應(yīng)用大小)，返回?cái)?shù)據(jù)轉(zhuǎn)交給消息handler處理，進(jìn)行應(yīng)用下載安裝。

再配合之前注冊(cè)的時(shí)鐘廣播ApsAdReceiver，完美完成推廣應(yīng)用啟動(dòng)。

六、 病毒sha1:

01b3e575791642278b7decf70f5783ecd638564d

5900fabbe36e71933b3c739ec62ba89ac15f5453

7ebdd80761813da708bad3325b098dac9fa6e4f5

ea781498268ced8dbb892d02aeaad23f4b87a510

44e81be6f7242be77582671d6a11de7e33d19aca

34b7b38ce1ccdd899ae14b15dd83241584cee32b

74a55e9ea67d5baf90c1ad231e02f6183195e564

4e5af777fe28f450a670e789b23fb3669dc6e6b6

d59f97297de38db7f85349c9486413e914ff35b5

b219db613284a3dd0e87edea67da744be59e7732

9b9109ecfa38d9664084a513392ffc3f41349f02

2b1da376212e63cb25a19900642c4bbca6e49c01

18d9546193a354aec0c76d141dd66fbf99181bad

63c20ee3c1e1b39921d2b3d86aade39de738ea9b

5d2a08d7c1f665ea3affa7f9607601ffae387e8b

70105591ea9f2b42534062278f31dbf9788575b3

34b7b38ce1ccdd899ae14b15dd83241584cee32b

78e9c7e0510b0c28abf28dd46910ab14c56ab4df

88745ecb3114fc0539ca05db388e1c77d3e76109

885fe0dca39d0fe281aad78cbce2fb73f27f3aea

50bdc0195ed3c6f9909e62d4926f26d312cc39fa


{

"isOpened":true,

"isOpenHideNativeAd":true,

"fid":"",

"fnid":"558734714274962_641985812616518",

"aid":"ca-app-pub-2499265864844132/2514086206",

"bnid":660078,

"solaid":5011,

"soltid":1000171,

"ad_interval":10,

"no_ad_start":0,

"no_ad_end":6

}

七、總結(jié)

該病毒應(yīng)用通過版本更新，進(jìn)行惡意版本下發(fā)，在完成“刷榜僵尸”和“下載者”病毒后又利用版本更新替換成線上安全版本，如此在各大應(yīng)用市場(chǎng)上期存活。阿里移動(dòng)安全建議，用戶下載此類App請(qǐng)認(rèn)準(zhǔn)大廠商品牌應(yīng)用;謹(jǐn)慎點(diǎn)擊軟件內(nèi)的推送廣告；來源不明的應(yīng)用不要隨意點(diǎn)擊；請(qǐng)定期使用阿里錢盾等手機(jī)安全軟件查殺病毒。

魔百WiFi for android V2.3.18 安卓版

• 類型：網(wǎng)絡(luò)通訊
• 大小：8.50MB
• 語言：簡(jiǎn)體中文
• 時(shí)間：2016-07-13

查看詳情

這個(gè)版本不知道是否含有以上說的刷榜病毒，但是如果不點(diǎn)擊廣告，應(yīng)該沒什么問題，就等它自己更新成安全版本也不錯(cuò)。需要的可以試試。