本帖最后由 龙飞雪 于 2015-11-21 17:53 编辑
一、情况简介
前几天分析了论坛里的一个Android敲诈者病毒，感觉还是很有收获，后面有空多研究研究Android病毒。说句题外话， 根据前面分析的Android敲诈者病毒的隐藏手法，应该可以实现“手机助手”类软件里的“卸载系统预留软件”的功能。 在前面Android敲诈者病毒的评论里，有朋友留了个贴吧的链接，进去逛了逛，又发现了一枚Android敲诈者病毒，病毒 程序图标很熟悉，360技术博客里有分析过该图标的病毒。不知道怎么的，之前也接触过这类Android病毒是爱加密加固 加密的，这次这个Android敲诈者病毒是梆梆加固加密的，贴吧显示其出现的时间是2015年9月10号左右。
二、样本信息
文件名称：安卓性能激活.apk 文件大小：1190613 字节 文件类型：Application/jar 样本包名：tx.qq898507339.bzy9 MD5: EA7A57771D7E31B9C7AB83081D305867 SHA1: 80AF8002861899323B6249ADA60685A0FDA26C64
1．经过AndroidKiller对样本文件进行反编译发现，原病毒Apk程序经过了梆梆加固处理，包名为"tx.qq898507339.bzy9"， 主活动Activity类为"tx.qq898507339.bzy9.MainActivity"。不过及其幸运的是使用DexExtractor脱壳工具可以脱掉梆梆加固的壳。
2.启动服务"tx.qq898507339.bzy9.RunBackgoundTips"，病毒作者在传播病毒锁定用户的手机的同时，不忘了给自己打广告、代个言。
3.启动服务"tx.qq898507339.bzy9.FloatingWindowService"，获取随Android系统启动的apk程序的包名，设置顶层不响应触摸消息的悬浮 窗口，提示用户后面被锁机以后联系悬浮窗口上的QQ号。
4.获取安全设备管理器，向admin设备发送Intent消息，创建设备管理器系统权限激活界面，使用诱导性的语言“请激活服务/取消则无法使用”， 诱导用户点击激活按钮，当前Apk程序获取系统管理员权限。
5.病毒获取系统管理员权限以后，给用户的手机设置锁屏密码">>>qq 898507339 bzy>>>"，但是千万要注意密码啊， 解屏密码中间有两次空格，没有冒号，切记。
6.通过分析发现，病毒作者还打算创建一个全屏的Activity活动界面来欺骗用户，无论用户是点击"解锁"还是"锁定"按钮， 用户的手机都会被锁屏，导致上面设置的锁屏密码生效，用户的手机进入锁屏状态，用户的手机被锁屏密码锁定不能正常使用。
7.该病毒不但会创建上面提到的全屏的Activity活动界面欺骗用户并且还会让用户在不知情的情况下，点击按钮访问网址
8.注册很多类型的静态广播如开机启动广播，接收器"tx.qq898507339.bzy9. .BootReceiver"，意图启动服务"tx.qq898507339.bzy9.SmSserver"， 该服务没什么好说的，就是创建不能响应触屏消息的顶层悬浮窗口，病毒作者的目的就是怕中了该敲诈者病毒的用户不知道找谁解锁，影响 自己的收入，特地一直显示3中提到的带有病毒作者QQ号的悬浮窗口。
9. 其实病毒作者已经在代码中留了解锁的方法，通过手机号"18258614534"发送短信到被该病毒锁定的用户手机上即可远程解锁用户被锁屏的手机； 尽管用户的手机被远程解锁，用户手机上的锁屏密码被清除，但是请记住，由于该病毒程序已经具有系统管理员权限，通过普通的程序卸载方法 卸载不掉，最好用手机助手类工具或者高权限的安卓程序，将该病毒Apk程序清除掉。
号外： 安卓性能激活类的Android敲诈者病毒也是比较典型的，最先接触的就是这种敲诈者病毒，手法都差不多。前面360技术博客也分析过这类Android病毒， 差不多但是还是有区别，360技术博客分析的该类病毒没有加壳处理，反编译的代码揣测的几次，除了锁屏解机的密码是一致的，其他的锁机行为和盗取 用户信息的行为没有发现，希望对中了病毒的人有点帮助。梆梆加固脱壳后，分析加了注释的dex文件会给大家，分析有误差的地方请见谅，本人也是初学。
====================================================================================================================== 用户手机解屏密码">>>qq 898507339 bzy>>>"，但是千万要注意密码啊，解屏密码中间有两次空格，没有冒号，切记。 ====================================================================================================================== 样本下载地址：
图片显示不是很好，附件上传分析报告。
| 
[复制链接]
发表于 2015-11-21 17:49
|
发表于 2015-11-26 10:21
