Android最新敲诈者病毒分析及解锁（11月版）
本帖最后由 龙飞雪 于 2015-11-19 22:27 编辑一、样本信息文件名称：久秒名片赞，(无需积分s)(2)(1)(1).apk文件大小：1497829字节文件类型：application/jar病毒类型：Android.CtLocker样本包名：android.support.v8MD5: 8123AC1150B47EF53507EC2360164E3BSHA1: 958B1E341C72DBCF52863C570B77C71A862987B1
Android敲诈者病毒样本来源于这位坛友http://www.52pojie.cn/thread-430284-1-1.html。
二、行为分析
1.经过AndroidKiller工具反编译、查壳发现，该样本apk程序已经经过爱加密加固过了。但是也奇怪，碰到不少的Android敲诈者病毒从去年到现在，基本都是经过爱加密加固加过壳处理。为了分析该敲诈者病毒，对样本进行脱壳处理.。
2.该敲诈者病毒样本的包名为android.support.v8主活动类为android.support.v7.q448870015。
3. 该敲诈者样本Apk被安装运行后，首先获取设备安全管理服务，判断当前主活动组件是否有系统管理员权限；如果当前主活动组件有系统管理员权限，直接将用户的手机进行锁定。
4.如果当前主活动组件没有系统管理员权限，则创建新的Activity可视界面活动类android.app.action.ADD_DEVICE_ADMIN，使用诱导性的提示语“请先激活设备管理器”，诱导用户激活设备管理器，用户点击“激活”，激活设备管理器获取系统管理员权限，为用户的手机设置锁屏密码做准备。
5.对这个作者很无语，如果用户点击“激活”，激活了用户手机的设备管器，获取系统权限则该病毒apk程序会为用户的手机设置固定值的锁机密码，经过解密后得到锁机密码为"4650"；如果用户没有点击激活，则该样本apk会死循环调用显示设备激活管理器界面，直到用户点击激活导致手机被锁屏密码锁定为止。
6.该病毒的作者还设置了另外一组手机锁屏的密码，但是经过分析发现，用病毒作者的字符串解密代码解密出来的手机锁屏密码是空。
7.但是请注意，即使解锁了手机的锁屏密码，但是一旦用户的手机重启、手机的通话状态发生改变、手机的网络状态发生改变、屏幕横竖屏发生切换、WIFI的状态发生改变等，用户的手机又会被全屏界面活动类锁定，不能正常使用。
8.由于该病毒apk程序，静态注册了上面截图中提到的很多广播；因此，一旦有这些广播发出，该apk程序就会高优先级的调用广播接收者"android.support.v7.BootBroadcastReceiver"。
9. 广播接收者"android.support.v7.BootBroadcastReceiver"则会启动全屏界面透明的活动类"android.support.v7.MainActivity"，将用户的手机再次锁定，导致用户的手机不能正常使用并且还会播放一段音乐。
10.估计病毒作者业务做得太大了，需要将"薄荷心凉i"发送到病毒作者的手机13457484650上才知道是自己的那款Android敲诈者病毒将用户的手机锁机了。
11.经过分析发现，解锁用户手机锁定的密码是字符串"薄荷终究是心凉"，思考分析了一下午，但是觉得解锁密码有些蹊跷。
12.这里要提到的是，手机的锁屏解密后，过一段时间0x3B9AC9FF时间单位后，11中提到的锁机密码会自动消失解机，但是用户等不到那个时间。
13.即使有幸手机没有被锁定，但是在用户手机屏幕上，创建顶层显示忽略界面屏幕装饰、不允许获得焦点的悬浮窗口，导致用户的手机上总是有一个透明状的悬浮窗口，卸载病毒apk即可去掉该浮窗。
号外：不浪费时间了，关于密码的事情的正确性就留给大家去确认了，脱壳后的dex文件留给大家去分析。很奇怪，这位坛友http://www.52pojie.cn/thread-430284-1-1.html提供的病毒样本和这位坛友http://www.52pojie.cn/thread-434644-1-1.html提供的病毒样本的MD值是一样的，应该是同一个病毒也希望大家参与进来破解锁机密码，精力有限。
=======================================================================================================================================锁屏密码和锁机密码在上面的报告中找，但是第3个锁机密码的问题，想的不是很明白。锁屏密码有两个分析是 "" 和 "4650"，后面的锁机密码是 "薄荷终究是心凉" ---但是貌似有点问题，大家一起讨论下。。============================================================================================================
附件中是脱壳后的样本dex文件和报告的PDF格式，论坛的图片显示不是很清楚。
买噶的，抢到前排了！无限支持你！！赞!{:1_918:} 魅族手机被锁后不显示qq号也没有其他任何信息显示纯锁机而且密码只能输入纯数字没有确定键最多能输入8位数自动失败。而且好像是调取了系统本身的密码界面由于魅族的特殊系统无法通过刷机恢复系统清除本机密码目前无解只有破解软件的密码才能进入系统有没有大神能解密出这个软件的其他密码 {:1_928:}{:1_932:} rainlee 发表于 2015-11-19 21:32
买噶的，抢到前排了！无限支持你！！赞!
哈哈多谢你的支持。 前排占座{:301_997:} 支持来了。没研究过安卓，今天没分了，明天补分{:301_997:} 山顶的一棵草 发表于 2015-11-19 21:48
支持来了。没研究过安卓，今天没分了，明天补分
你的支持是对我最大的鼓励。 飞雪兄最近专注安卓啊{:17_1065:} Hyabcd 发表于 2015-11-19 21:56
飞雪兄最近专注安卓啊
哎，有空就搞搞了 支持大牛{:301_988:}厉害。。 龙飞雪 发表于 2015-11-19 22:10
哎，有空就搞搞了
最近每天满课都没空做分析了