install-recovery.sh流氓插件腳本
install-recovery.sh流氓插件腳本
你們聽(tīng)過(guò)install-recovery.sh流氓插件腳本嗎?近期,AVL移動(dòng)安全團(tuán)隊(duì)截獲一款會(huì)篡改手機(jī)啟動(dòng)腳本的流氓插件,該插件一旦被加載運(yùn)行,首先嘗試請(qǐng)求超級(jí)用戶(hù)權(quán)限,進(jìn)而惡意篡改手機(jī)啟動(dòng)腳本,釋放特定重打包應(yīng)用(應(yīng)用商店類(lèi))到系統(tǒng)應(yīng)用目錄。下面是學(xué)習(xí)啦小編整理的一些關(guān)于install-recovery.sh流氓插件腳本的相關(guān)資料,供你參考。
install-recovery.sh流氓插件腳本:
install-recovery.sh流氓插件一、行為及危害
該插件依靠應(yīng)用主體運(yùn)行,被加載啟動(dòng)后會(huì)嘗試請(qǐng)求超級(jí)用戶(hù)權(quán)限
篡改手機(jī)啟動(dòng)腳本,釋放特定重打包的應(yīng)用商店類(lèi)應(yīng)用到系統(tǒng)應(yīng)用目錄下
后臺(tái)上傳設(shè)備Rom自帶的應(yīng)用相關(guān)信息到遠(yuǎn)程服務(wù)器
install-recovery.sh流氓插件二、插件結(jié)構(gòu)
該插件安裝后無(wú)圖標(biāo),并偽裝成“skype”在后臺(tái)加載運(yùn)行。如圖1所示:
圖1 插件運(yùn)行情況
插件的包結(jié)構(gòu)相對(duì)簡(jiǎn)單,assets目錄下包含很多ELF可執(zhí)行文件和經(jīng)過(guò)加密的資源文件。如圖2所示:
圖2 插件包結(jié)構(gòu)
install-recovery.sh流氓插件三、詳細(xì)分析
1、插件被加載運(yùn)行后,嘗試申請(qǐng)超級(jí)用戶(hù)權(quán)限
該插件常見(jiàn)為依賴(lài)主體應(yīng)用直接進(jìn)入用戶(hù)設(shè)備中,也出現(xiàn)過(guò)通過(guò)某應(yīng)用彈出的插件下載提示,由用戶(hù)自行下載該插件。插件一旦進(jìn)入用戶(hù)設(shè)備中,將依靠主體應(yīng)用加載運(yùn)行,首先會(huì)申請(qǐng)超級(jí)用戶(hù)權(quán)限。
2、篡改腳本并釋放應(yīng)用到系統(tǒng)應(yīng)用目錄
當(dāng)插件獲取超級(jí)用戶(hù)權(quán)限后,后臺(tái)服務(wù)QService啟動(dòng),并在/data/data/com.q.t/目錄下生成.f的隱藏目錄,將資源文件a,b,c,da,db,dc,dd,de讀取后存放在該隱藏目錄下,并解密文件43bin和ntf,在.f隱藏目錄下生成insqn的腳本。
創(chuàng)建腳本:
生成的腳本如下圖所示:
腳本被執(zhí)行后,將隱藏目錄當(dāng)中的文件替換系統(tǒng)的配置文件,包括apn,install-recovery.sh。
除此之外,程序運(yùn)行時(shí),還會(huì)后臺(tái)監(jiān)控腳本是否執(zhí)行成功,并將相關(guān)的狀態(tài)信息上傳到遠(yuǎn)程服務(wù)器。一旦執(zhí)行成功,便立即刪除插件程序以及插件程序?qū)?yīng)的數(shù)據(jù)目錄文件。
資源文件釋放位置對(duì)應(yīng)關(guān)系表:
替換系統(tǒng)啟動(dòng)腳本后,手機(jī)會(huì)在啟動(dòng)后傳入“—auto-daemon”參數(shù)以守護(hù)進(jìn)程形式運(yùn)行update模塊,載入正常的啟動(dòng)腳本。而后在系統(tǒng)目錄中安裝一款名為“應(yīng)用商店”的應(yīng)用。
經(jīng)過(guò)分析發(fā)現(xiàn),“應(yīng)用商店”重打包了一款知名的市場(chǎng)類(lèi)應(yīng)用,如下圖所示,與官方版本相比,重打包后的應(yīng)用在原官方應(yīng)用基礎(chǔ)上增加了com.ally和com.fun這樣的包結(jié)構(gòu)。
在程序清單文件當(dāng)中也發(fā)現(xiàn)重打包應(yīng)用當(dāng)中增加了相應(yīng)的Receiver和Service。
3、后臺(tái)上傳用戶(hù)手機(jī)Rom相關(guān)信息到遠(yuǎn)程服務(wù)器
在重打包應(yīng)用增加的com.ally包結(jié)構(gòu)當(dāng)中,其通過(guò)調(diào)用native層方法來(lái)獲取用戶(hù)設(shè)備和Rom內(nèi)置應(yīng)用相關(guān)信息。
通過(guò)該方法獲取的用戶(hù)信息包含以下兩類(lèi):
1)設(shè)備相關(guān)信息
包含用戶(hù)手機(jī)IMEI,IMSI,手機(jī)品牌,型號(hào),SDK版本,當(dāng)前應(yīng)用程序包名,wifi mac地址,網(wǎng)絡(luò)聯(lián)網(wǎng)狀態(tài)。
2)用戶(hù)安裝的應(yīng)用信息
主要是用戶(hù)安裝的應(yīng)用信息、Rom自帶的應(yīng)用信息,含/system/framwork以及/system/app目錄下的應(yīng)用。
獲取用戶(hù)應(yīng)用信息后,通過(guò)回調(diào)接口將獲取的用戶(hù)隱私信息上傳到遠(yuǎn)程服務(wù)器。
通過(guò)分析,發(fā)現(xiàn)如下遠(yuǎn)程服務(wù)器:
xxpl.mehadoop.com
103.17.42.195
flashapi.5dong.com.cn
通過(guò)對(duì)域名反查發(fā)現(xiàn),這些域名都是通過(guò)阿里云注冊(cè)的,部分域名是由國(guó)內(nèi)做rom推廣的廠商所擁有,而部分已失效。
看過(guò)文章“install-recovery.sh流氓插件腳本”的人還看了:
6.開(kāi)機(jī)反應(yīng)慢是什么原因