刚刚同事收到的安卓木码，一起分析一下。（附件为木马文件）

buddy · 发表于 2016-8-16 00:52

本帖最后由 buddy 于 2016-8-18 10:22 编辑

刚刚领导手机中码，赶紧要来看了一下，小白瞎折腾，请高手们指点。
一、手机短信内容人：某地+机主名+查收与您相关的相册 mewg.pw/jnm 朋友名字
于是小白就去这个网址下载了一个叫“相册”的app。
反编译了一下这个App，翻了一下内容。

这个应该是引诱机主安装木马的提示，以升级相册为由诈骗机主进行木马安装。

木马安装成功，并将相关信息发送给嫌疑人137的手机

木马安装成功后需要注册，领导没跟我说要注册啊，但是这里显示需要输入机主姓名及身份证号啊。请大神们解答一下。

诈骗机主输入身份证号码及姓名进行注册，并将上述信息发送给嫌疑人手机。

遍历机主通讯录，对通讯录内联系人发送木马短信，短信内容：“phoneString”+“联系人姓名”+“与你有关的东西"+ " mewg.pw/jkn 打开瞧下 "

遍历通讯录关发送木马网址：mewg.pw/jkn 给通讯录内人员

二、去mewg.pw/jkn下了第二个木马，还是叫“相册.app”
继续反编译，发现这个木马就是流传最广的粗口木马，本坛分析过很多次，基本没有啥技术含量，所有短信、联系人数据被上传至嫌疑人手机及邮箱。

接收手机号码

接收的邮箱及密码

进邮箱看了一下，没发现有多少信息，可能安装的人不多。

综上分析：
1、mewg.pw/jnm网址下的木马，应该只是遍历机主通讯录，然后广播发送木马网址mewg.pw/jkn，以达到木马扩散的目的，是否具有拦截短信的功能，还请大神门详细分析一下；
2、mewg.pw/jkn网址下的木马，才是实际进行短信拦截的木马。

问题：不知道159这个号码是什么情况，请大神们分析一下。

送上二个木马文件，供大神们下载分析。

mewg.pw/jnm网址下的木马：

相片.rar (949.04 KB, 下载次数: 212)
mewg.pw/jkn网址下的木马：

相册1.rar (300.61 KB, 下载次数: 183)

buddy · 发表于 2016-8-16 17:16

世事繁华皆成空发表于 2016-8-16 17:12
什么叫我给的jeb，我只是个搬运工

手机root后的话还是可以静默安装app的，你毫无察觉，

我的jeb是你QQ上传给我的，我说的是事实吧。
帮我看一下呢，第一个木马是否只具有遍历通讯录，扩散木马的功能吧，不具有拦截短信的功能吧。
第二个木马里还发现了一个手机号，那个手机号的具体作用能否分析一下？

buddy · 发表于 2016-8-17 17:39

Hmily 发表于 2016-8-17 17:31
@buddy 分享的时候一定要在帖子和附件中注明附件为病毒、木马或者可疑文件，附件样本压缩包上传时必须使用 ...

@Hmily 不好意思，第一次发类似木马贴，对相关规定没有详细了解，下次一定注意。

asd815125365 · 发表于 2016-8-16 01:25

楼主你这反编译软件叫什么名字能共享吗

buddy · 发表于 2016-8-16 01:34

asd815125365 发表于 2016-8-16 01:25
楼主你这反编译软件叫什么名字能共享吗

繁华大神给的jeb

Niuer · 发表于 2016-8-16 02:39

膜拜楼主已经向移动端软件进军了

vinjane · 发表于 2016-8-16 03:41

Niuer 发表于 2016-8-16 02:39
膜拜楼主已经向移动端软件进军了

牛二什么放破J版-。-

listendestiny · 发表于 2016-8-16 08:21

好厉害、楼主

O大表哥O · 发表于 2016-8-16 08:43

楼主牛B啊

次元大爱吾爱 · 发表于 2016-8-16 08:59

提示: 作者被禁止或删除内容自动屏蔽

duplay8 · 发表于 2016-8-16 09:24

楼上真是都是大神了

安卿 · 发表于 2016-8-16 09:30

好厉害的样子，坛子大神果然多

帐号		自动登录	找回密码
密码			注册[Register]

[Android 原创] 刚刚同事收到的安卓木码，一起分析一下。（附件为木马文件）

免费评分

点评

次元大爱吾爱次元大爱吾爱当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	次元大爱吾爱发表于 2016-8-16 08:59 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报