仿《中华人民共和国最高人民检察院》钓鱼APP详细分析

Andy0214 · 发表于 2017-5-21 21:17

报告名称：仿《中华人民共和国最高人民检察院》钓鱼APP详细分析
作者：Andy
报告更新日期：2017年5月21日
样本文件大小／被感染文件变化长度：505,420 字节
样本文件MD5 校验值：07689211B6FCCE45BD12259A489A4B6B
样本文件SHA1 校验值：458F456BCB4F6D783233C3AC026F96E014689CB4
壳信息：NO WRAPPER
可能受到威胁的系统：Android
名称：中华人民共和国最高人民检察院
包名：com.gmapp

主要描述：样本是一款钓鱼APP，随着电视剧人民的名义的热播，我们的最高检也成了热门IP，很多不法分子就利用最高检的热度，制作起了相关的病毒软件，近期发现的这款关于最高检的APP是一款很常见的钓鱼类APP。该病毒仿冒公检法,启动后试图窥视用户手机,并意图窃取用户短信,通讯录,地理位置等隐私数据,会造成用户资金损害；病毒在启动后提示用户将默认短信应用修改，监听用户的按键并将返回键重写失效；病毒监听用户电话状态，可能存在远程转接，造成不必要的经济损失。

详细分析：
0x00 运行界面

0x01获取权限
android.permission.READ_PHONE_STATE，访问电话状态
android.permission.INTERNET，访问网络连接，可能产生GPRS流量
android.permission.ACCESS_COARSE_LOCATION，通过WiFi或移动基站的方式获取用户错略的经纬度信息(精度30~1500米)
android.permission.ACCESS_FINE_LOCATION，通过GPS芯片接收卫星的定位信息(精度10米以内)
android.permission.ACCESS_NETWORK_STATE，获取网络信息状态，如当前的网络连接是否有效
android.permission.ACCESS_WIFI_STATE，获取当前WiFi接入的状态以及WLAN热点的信息
android.permission.READ_CONTACTS，允许应用访问联系人通讯录信息
android.permission.SEND_SMS，发送短信
android.permission.WAKE_LOCK，允许程序在手机屏幕关闭后后台进程仍然运行
android.permission.INJECT_EVENTS，允许访问本程序的底层事件，获取按键、轨迹球的事件流

0x02具体行为
该钓鱼APP在用户启动后自动获取用户信息上传，并试图将软件自身设置为短信应用以方便后续直接获取用户短信相关信息。
将自身设置为默认的短信应用
默认短信应用.png

获取用户信息

抓包得到上传用户的信息
抓包1.png

上传服务器地址拼接

钓鱼APP监听用户电话状态，可能存在远程转接，造成不必要的经济损失

钓鱼APP修改返回键，导致用户无法点击返回，返回键失效
返回键失效.png

在分析的过程中还发现了钓鱼APP的主界面

在主界面下方有三个按钮可以出发
网站界面.png

可以清楚的看到该钓鱼网站采集用户的信息极其的详细，通过网页形式获取用户基本信息，然后通过恶意APP获取用户实时信息并做关联，这样一套完善的信息体系很快就能运转。
看到这里是不是感叹这些制作病毒的人很可恶，确实，这些人不择手段，获取用户最基本的信息，有可能售卖，有可能用来进一步诈骗，所以小白在这里提醒用户一定要在官方应用商城下载应用，并且手机上要安装安全卫士实时监测手机的安全。

接下来我们看看这个网站的相关信息

经过查询该二级域名还发现了其他的传播地址与钓鱼主页
可以看到IP地址是美国的，看来病毒制造者还是很谨慎的。
没有更多信息了，不知道广大的网友朋友们有没有可以更多追溯该APP来源的方法或者手段，不吝赐教。
本人小白，写得不好，希望可以帮助到很多的受害者，大神勿喷，谢谢。

0x03安全建议
从正规的应用商城下载应用，不随意点击别人给的下载链接
不贪小便宜，不要下载所谓的红包、刷钻、王能软件之类的应用
对自己不清楚的软件最好先使用模拟器安装，如果正常在安装亦无妨

0x04总结
广大的安全爱好者们如果也喜欢分享自己的劳动成果，喜欢破解一些游戏，喜欢解锁一些锁机软件，一起讨论关于软件安全的问题，一起破解我们想玩的游戏，一起研究很多好玩的东西。（论坛禁止留群）

Paul_yan · 发表于 2018-10-9 12:16

17605202756 发表于 2017-5-23 12:13
其实只要去正经的软件商城或者手机自带的基本上是不会有这些问题的，平时没事别乱去网站下载最好也别root

其实这些软件的传播就是利用人类的弱点绕过这些“途径”的。

电科信息士 · 发表于 2018-11-15 19:42

楼主，我是新人。我对安卓系统不是特别的了解。我冒昧的问一句，我在学习您的上述步骤时发现，您是用wireshark抓包的。您是在安卓的开发环境里运行上述“间谍”app的吗？如果我用其他的手机模拟器，我在pc上是否还能对此类软件进行相应的沙箱测试呢？

轉瞬即逝~的愛 · 发表于 2017-5-22 12:27

学习了谢谢

琅琊王 · 发表于 2017-5-22 12:44

这么高级的黑客东西没有接触过，学习了！学学反黑客！

www312244151 · 发表于 2017-5-22 12:51

各路大神快来，搞他，找到之后报网警。！

勤奋的刘小朵 · 发表于 2017-5-22 14:46

长知识了，嘿嘿，谢谢楼主无私分享！

shuihuoerhao · 发表于 2017-5-22 14:52

这类APP是越来越强大啦以后安装更新APP确实得注意注意

chinaboy008 · 发表于 2017-5-22 16:38

支持楼主！加油！

亲亲多美丽 · 发表于 2017-5-22 17:49

哇，好高档的样子，谢谢分享

三笙三世 · 发表于 2017-5-22 17:56

已经把他网站打了{:1_912:}

Onlookers_汐颜 · 发表于 2017-5-22 19:01

一大波DDOS正在接近

帐号		自动登录	找回密码
密码			注册[Register]

[移动样本分析] 仿《中华人民共和国最高人民检察院》钓鱼APP详细分析

免费评分

免费评分