红包强盗(后台版)升级版本锁机软件详细分析

Andy0214 · 发表于 2017-2-24 15:13

报告名称：红包强盗(后台版)锁机软件详细分析
作者：Andy
报告更新日期：2017年2月24日
样本发现日期：
样本文件大小／被感染文件变化长度：238,991 字节
样本文件MD5 校验值：2DE3174EAC9F9564599FA7CBC4FB897F
样本文件SHA1 校验值：4AFD3B6AADC85BE5BB786D792AC02CB6EF1D0C0C
壳信息：
可能受到威胁的系统：Android
名称：刷LOL皮肤，刷话费绿色补丁
包名：com.cjk

主要描述：样本是一款很普通的锁机软件，但是解锁码不像一般锁机软件直接明文写出，经过了加密解密处理，该锁机软件一旦安装，如果不能正常解锁，手机将处于长期锁机状态，不能使用；软件启动后就会获取最高权限，引导用户激活设备管理器，隐藏图标成为系统应用，正常无法卸载。

详细分析：
0x00 运行界面
QQ截图20170216144424.png

和之前分析的红包抢到安装后的名称一样，就连锁机界面都神似，没有按钮和输入框，只有几行文字
0x01获取权限

android.permission.SEND_SMS，发送短信
android.permission.SYSTEM_ALERT_WINDOW，显示系统窗口（设置所及软件置顶，用户启动软件后就只能看到已经设置好的界面）
android.permission.RECEIVE_BOOT_COMPLETED，允许程序开机自动运行（程序开机后自启动，导致用户重启也无济于事）
android.permission.INTERNET，访问网络连接，可能产生GPRS流量
android.permission.ACCESS_NETWORK_STATE，获取网络信息状态，如当前的网络连接是否有效
android.permission.WRITE_EXTERNAL_STORAGE，允许程序写入外部存储，如SD卡上写文件
android.permission.MOUNT_UNMOUNT_FILESYSTEMS，挂载、反挂载外部文件系统
android.permission.VIBRATE，允许振动
0x02具体行为锁机软件启动后引导用户激活设备管理器，将自己写好的界面置顶。
代码结构和之前的一样，应该是出自同一人，一些赘述就不在这里一一写出来了，不清楚的可以看上一篇文章

可以说是一模一样，只是对解锁密码的处理不一样而已

具体的代码整合本人写了Java代码，如下：

也有人用python写了，很简洁，之前用java写，base64加解密包一直引不对，所以请求了别人写了一个python

python代码尤其优点，但是由于源码是java写得，不能吃透源码的人就很难看懂python代码了
同样看懂了源代码的人一样可以拿到base64在线加解密去破解
最终得到的解锁码：hhh520
其他的就不在赘述了
0x04技术热点
这个锁机不同于其他简单锁机的方面就是他将锁机密码进行了加解密处理，不能一眼看到解锁密码，初学者或者是没有学习过的人如果遇到可以找论坛相关人解锁，不要自己乱整；
锁机软件使用的是Base64加解密，以及对字符串的简单处理（反转）；
不同于前一个锁机程序的是该锁机应用的字符串是从外部txt文件中读取的；
没有加固的锁机软件并不难，关键是要静下心来仔细找找突破口，锁机整体框架比较简单，代码很少。
0x05安全建议
从正规的应用商城下载应用，不随意点击别人给的下载链接
不贪小便宜，不要下载所谓的红包、刷钻、王能软件之类的应用
对自己不清楚的软件最好先使用模拟器安装，如果正常在安装亦无妨
0x06分析意外的追踪
连着写了两篇，其实之前就一直想抽时间写一下，苦于没有足够时间写报告，就只是自己破解玩了一下
总结这两个锁机发现都是同一人所为，便找了一下其中包含的qq群之类的信息查了一下

可以看到这是团伙啊，大吃一惊啊，这传播，怪不得天天有人被锁机
一下是这两款软件的截图，自己看看就好，之后要是破解了，可以供大家玩玩（仅供玩耍，不要拿来坑人啊，尤其是自己不会破解的）

看完了是不是觉得这些人丧尽天良啊，其实想想啦，要不是自己贪小便宜，不在正规渠道下载软件，想要坑人，不好好学习，不好好上班，能被坑？？？

Andy0214 · 发表于 2017-2-25 12:44

时光机任意门发表于 2017-2-24 18:50
楼主，问一下，最终自己获取到了解锁密码，像这种锁机软件，如何输入密码来解锁呢？他的输入框是如何唤醒出 ...

手机重启自然就出来了，只有一个输入框，其实就是你正常设置密码的那个

Andy0214 · 发表于 2017-2-25 12:41

炽日夕辉发表于 2017-2-24 19:43
这个app我分析过，只找到了这个叫彼岸花开的qq，空间还在卖这个锁机源码。
空间广告吹的天花 ...

想占便宜的人太多了，导致这些人的东西铺天盖地

酒醒黄昏 · 发表于 2017-2-24 16:41

好厉害膜拜一下

无间小白 · 发表于 2017-2-24 16:48

厉害了，学习学习

七彩棒棒堂 · 发表于 2017-2-24 17:02

提示: 作者被禁止或删除内容自动屏蔽

q304791938 · 发表于 2017-2-24 17:03

弱弱的问下，查看的源码的这款软件叫啥，最好附下下载地址，谢谢

Andy0214 · 发表于 2017-2-24 17:06

q304791938 发表于 2017-2-24 17:03
弱弱的问下，查看的源码的这款软件叫啥，最好附下下载地址，谢谢

jd-gui,百度搜索就可以看到

q304791938 · 发表于 2017-2-24 17:08

Andy0214 发表于 2017-2-24 17:06
jd-gui,百度搜索就可以看到

好的，谢了哈

gsl27 · 发表于 2017-2-24 17:10

这个还是不错的

温柔xxx · 发表于 2017-2-24 17:15

感谢分享看看热闹看不懂！

gf2002107 · 发表于 2017-2-24 17:18

好厉害  膜拜一下

帐号		自动登录	找回密码
密码			注册[Register]

[移动样本分析] 红包强盗(后台版)升级版本锁机软件详细分析

免费评分

七彩棒棒堂七彩棒棒堂当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	七彩棒棒堂发表于 2017-2-24 17:02 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报