设为首页|收藏本站|
发帖
登录 注册
西兔生活网 › 华人生活 › 唐人街茶馆 › 记一次对移动端DroidKongfu病毒实例分析
回复 发帖
返回列表 发新帖
开启左侧

[闲聊] 记一次对移动端DroidKongfu病毒实例分析

[复制链接]
15483 0
ywl3210 发表于 2022-5-14 09:37:54 | 只看该作者 打印 上一主题 下一主题
 
前言

纸上得来终觉浅，为了更好的将知识掌握，从网上下载了这个病毒的apk样本来分析学习。
正文

这里先将apk样本放到在线的文件分析平台看一下，这里选择的是国内的平台，书上推荐的是Mobile SANDBOX，这个平台有一个优势，就是会保存运行时的流量包，可以自己再对流量包进行手动分析。在等待平台跑出结果的时候，先自己手动分析一下。

记一次对移动端DroidKongfu病毒实例分析 第1张图片

这里先用Android Killer看一下java层的代码。

记一次对移动端DroidKongfu病毒实例分析 第2张图片

可以看到这里一共需要五个权限。
android.permission.INTERNET
android.permission.ACCESS_NETWORK_STATE
android.permission.ACCESS_WIFI_STATE
android.permission.READ_PHONE_STATE
android.permission.ACCESS_COARSE_LOCATION
总共申请获取了网络、WIFI、读取、定位这几个权限。

记一次对移动端DroidKongfu病毒实例分析 第3张图片

点击查看java层的源码，可以看到这里先判断手机有无进行root操作。

记一次对移动端DroidKongfu病毒实例分析 第4张图片

然后启动了一个线程，这里面涉及的网站已经访问不了了，但是根据以前的资料，这个连接网站主要是为了下派广告。

记一次对移动端DroidKongfu病毒实例分析 第5张图片

接着初始化了一个f类

记一次对移动端DroidKongfu病毒实例分析 第6张图片

然后之后通过读取配置文件的did,和外连网站注册userid.(这里注册的userid,因为网站已经无法访问，所以只能根据之前的资料).

记一次对移动端DroidKongfu病毒实例分析 第7张图片

记一次对移动端DroidKongfu病毒实例分析 第8张图片

接着再启动一个全局定时器，用于启动ReceiverAlarm。

记一次对移动端DroidKongfu病毒实例分析 第9张图片

接着会获取系统的通知服务。

记一次对移动端DroidKongfu病毒实例分析 第10张图片

接着的操作就是跟获取广告有关了。

记一次对移动端DroidKongfu病毒实例分析 第11张图片

接着再回到MAInActivity,可以看到在之后又启动了一个服务。

记一次对移动端DroidKongfu病毒实例分析 第12张图片

这里调用了一个原生的动态连接库。这里我们用apktool对apk进行操作，获得lib目录下的so文件进行native层的分析。

记一次对移动端DroidKongfu病毒实例分析 第13张图片

将so文件放入ida中，f5一下。(汇编水平还不行，所以这里用查看伪代码的方式进行分析).

记一次对移动端DroidKongfu病毒实例分析 第14张图片

根据java层可以得知，这里会传入三个参数，设备id，程序包名，meta_data.

记一次对移动端DroidKongfu病毒实例分析 第15张图片

然后之后可以看到这里进行了一个写文件的操作，判断这里就是病毒主体生成的地方。文件名是根据时间随机生成的。然后对主体加上了一个权限操作。

记一次对移动端DroidKongfu病毒实例分析 第16张图片

接下来进行了root的一个判断，然后通过管道调用su.

记一次对移动端DroidKongfu病毒实例分析 第17张图片

接下来，就是执行病毒主体的操作，再执行完后，还会对文件进行一个删除。

记一次对移动端DroidKongfu病毒实例分析 第18张图片

这里把病毒主体bin文件放入到ida中查看。

记一次对移动端DroidKongfu病毒实例分析 第19张图片

这里对系统感染的部分进行分析。
这里可以看到是通过一个中间临时文件，对系统文件进行修改。

记一次对移动端DroidKongfu病毒实例分析 第20张图片

记一次对移动端DroidKongfu病毒实例分析 第21张图片

最后再回去看一下在线平台的分析结果。

记一次对移动端DroidKongfu病毒实例分析 第22张图片

记一次对移动端DroidKongfu病毒实例分析 第23张图片

记一次对移动端DroidKongfu病毒实例分析 第24张图片

这里可以看到的运行截图和之前的分析差不多。若有不足之处请大家多多指出希望可以和大家一起学习交流。


上一篇：秦刚：中美关系稳，华人才能好
下一篇：5 月 12 日北京每轮未按要求参加核酸筛查人员，健康宝将弹窗 ...
标签：分析学习国内的移动端在线的国内
@
免
责
声
明
1.西兔生活网 CTLIVES 内容全部来自网络;
2.版权归原网站或原作者所有;
3.内容与本站立场无关;
4.若涉及侵权或有疑义，请点击“举报”按钮，其他联系方式或无法及时处理。
举报

关联主题
回复

使用道具 举报

 
返回列表
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

ywl3210白金会员

0关注

7粉丝

455帖子

热门图文
热门帖子
排行榜
  • 日
  • 周
  • 月
活跃网友
返回顶部快速回复上一主题下一主题返回列表APP下载手机访问
Copyright © 2016-2028 CTLIVES.COM All Rights Reserved.  西兔生活网  小黑屋| GMT+8, 2024-5-7 03:29