黑幕解密:中國(guó)黑客借非法應(yīng)用產(chǎn)業(yè)鏈,每天攫取數(shù)百萬(wàn)美金

責(zé)任編輯:editor007

2015-10-12 17:46:53

摘自:ZD至頂網(wǎng)

9月18日,獵豹移動(dòng)(CM)安全實(shí)驗(yàn)室向安卓用戶發(fā)出警報(bào)——“GhostPush”(幽靈推),一個(gè)幾乎無(wú)法去除的頑固木馬。迄今為止,該病毒已經(jīng)影響了全球超過(guò)116個(gè)國(guó)家的90萬(wàn)多安卓用戶,據(jù)推測(cè),病毒開(kāi)發(fā)者每天可從這個(gè)非法產(chǎn)業(yè)鏈中獲取至少405萬(wàn)美元的暴利。

概述

9月18日,獵豹移動(dòng)(CM)安全實(shí)驗(yàn)室向安卓用戶發(fā)出警報(bào)——“GhostPush”(幽靈推),一個(gè)幾乎無(wú)法去除的頑固木馬。

然而,后來(lái)事情變得越來(lái)越糟了,它的多個(gè)變種依次被發(fā)現(xiàn),經(jīng)過(guò)更為深入的研究與分析,來(lái)自CM的安全專家發(fā)現(xiàn)隱藏在這種病毒背后的是一個(gè)非法移動(dòng)營(yíng)銷產(chǎn)業(yè)鏈,其中涉及到精細(xì)復(fù)雜的操作和大量的供應(yīng)商。

迄今為止,該病毒已經(jīng)影響了全球超過(guò)116個(gè)國(guó)家的90萬(wàn)多安卓用戶,據(jù)推測(cè),病毒開(kāi)發(fā)者每天可從這個(gè)非法產(chǎn)業(yè)鏈中獲取至少405萬(wàn)美元的暴利。

回顧“GhostPush”事件

今年8月,發(fā)現(xiàn)GhostPush在全球范圍內(nèi)迅速蔓延的CM安全團(tuán)隊(duì)迅速發(fā)出警報(bào),并開(kāi)發(fā)出一種專門針對(duì)這個(gè)嚴(yán)重病毒的反病毒工具。不久之后,有更多的安全公司注意到這個(gè)危險(xiǎn)的病毒,并發(fā)現(xiàn)了幾個(gè)變種。

病毒家族發(fā)現(xiàn)時(shí)間軸

  受影響APP

  多個(gè)APP受影響

這個(gè)非法行業(yè)帝國(guó)是如何建立的?

病毒開(kāi)發(fā)者對(duì)一些流行的APP進(jìn)行了重包裝,注入了惡意代碼以及廣告組件。由于這些應(yīng)用程序可以繞過(guò)谷歌市場(chǎng)以及其他合法應(yīng)用市場(chǎng)的安全監(jiān)控,開(kāi)發(fā)者在許多其他熱門應(yīng)用市場(chǎng)成功提交并發(fā)布。然后,開(kāi)發(fā)者繼而通過(guò)合法渠道推廣他們的惡意程序。

從另一方面來(lái)看,在不知情的情況下用戶往往非常愿意下載這些偽裝成熱門應(yīng)用的惡意程序。當(dāng)用戶完全無(wú)法卸載這些惡意軟件時(shí),病毒開(kāi)發(fā)者便獲得大量活躍用戶。而擁有了這樣的用戶群體后,他們便可以建立一個(gè)市場(chǎng)推廣公司,成為移動(dòng)經(jīng)銷商。這些惡意開(kāi)發(fā)者有資格與廣告贊助商合作,通過(guò)推廣產(chǎn)品謀取暴利。

  研究者發(fā)現(xiàn)至少4個(gè)可疑域名

在分析過(guò)病毒域名的指揮與控制(CnC)之后,CM團(tuán)隊(duì)發(fā)現(xiàn)了至少四個(gè)與這個(gè)病毒家族攻擊有關(guān)的域名?;谶@些相關(guān)信息,可以猜想到攻擊可能源于中國(guó)。

  在合法應(yīng)用市場(chǎng)也發(fā)現(xiàn)此病毒家族

病毒開(kāi)發(fā)者在合法應(yīng)用市場(chǎng)也發(fā)布了經(jīng)過(guò)重包裝的惡意應(yīng)用,由此獲得了大量的用戶。截至目前,CM團(tuán)隊(duì)在谷歌市場(chǎng)、Aptoide以及其他熱門應(yīng)用程序商店中都發(fā)現(xiàn)了病毒樣本。讓人稍感欣慰的是,這些惡意軟件現(xiàn)在已從所有市場(chǎng)下架。

超過(guò)4000樣本受此病毒家族影響

這個(gè)病毒家族囊括了4000個(gè)樣本,主要出現(xiàn)在一些熱門游戲、工具以及社交軟件中,例如會(huì)說(shuō)話的湯姆貓3、超級(jí)馬里奧、Amazon等等。

截止10月8日,GhostPush已經(jīng)影響了超過(guò)116個(gè)國(guó)家的90多萬(wàn)手機(jī)用戶,主要集中于東南亞地區(qū)。

  受病毒影響的主要地區(qū)列表如下:

  主要國(guó)家感染用戶數(shù)量列表如下:

  東南亞為什么成了重災(zāi)區(qū)?

病毒開(kāi)發(fā)者主要來(lái)自中國(guó),并且大多數(shù)經(jīng)過(guò)重新包裝的應(yīng)用程序是由中國(guó)供應(yīng)商開(kāi)發(fā)的。由于東南亞與中國(guó)地理接近,兩個(gè)地區(qū)在文化、歷史或宗教方面存在很多共同點(diǎn)。近年來(lái),已經(jīng)有越來(lái)越多的中國(guó)供應(yīng)商開(kāi)始在東南亞地區(qū)拓展業(yè)務(wù)。

安卓所有版本幾乎都難逃影響

這個(gè)病毒家族可以影響2.3至5.1幾乎所有安卓版本。令人震驚的是,即使最新版AndroidLollipop也無(wú)法逃脫厄運(yùn)。

所有受影響的移動(dòng)操作系統(tǒng)版本如下所示:

  超過(guò)一萬(wàn)手機(jī)類型及2742個(gè)品牌受此牽連

幾乎所有大型手機(jī)制造商集體淪陷。三星作為谷歌開(kāi)放手機(jī)聯(lián)盟的硬件領(lǐng)跑者首當(dāng)其沖,由于其占領(lǐng)了最大的移動(dòng)市場(chǎng)份額,因此受影響最深。

  這個(gè)病毒家族已經(jīng)惡意影響了多少應(yīng)用程序?

分析之后,研究者發(fā)現(xiàn)了一些推廣惡意軟件的信息。目前,已經(jīng)有93個(gè)應(yīng)用程序成為受害者。

所有這些應(yīng)用程序都被預(yù)先注入了病毒(例如com.msqwea.cjaaml,com.sex.position.withsoundSexPosition以及com.hui.szhdtmmnewTalkingTom.)。除了重新包裝流行應(yīng)用程序,這些病毒同時(shí)還強(qiáng)制下載帶有木馬、后門或者病毒的其他惡意程序,造成更進(jìn)一步的感染。因此,無(wú)論是合法或者惡意的應(yīng)用程序,都會(huì)成為GhostPush病毒的一部分。

在分析過(guò)程中,研究者還發(fā)現(xiàn)了一些有意思的信息,其中部分在下面列表展示如下:

  病毒開(kāi)發(fā)者每天可獲利超過(guò)405萬(wàn)美金

這些惡意應(yīng)用程序在智能手機(jī)上每安裝一次,病毒開(kāi)發(fā)者便可獲得平均1.5美元的收益。目前,這93款應(yīng)用程序主要分布于游戲、工具及社交軟件中,其中最貴的當(dāng)屬游戲“魔法熱潮:英雄”,每次安裝需要3美金。

在測(cè)試了10臺(tái)設(shè)備之后,研究人員發(fā)現(xiàn)設(shè)備平均每天安裝3個(gè)應(yīng)用程序,由此估算出每個(gè)設(shè)備每天可以為病毒開(kāi)發(fā)者帶來(lái)4.5美元的收益。

從之前獲得的數(shù)據(jù)中可以看出,超過(guò)90萬(wàn)的設(shè)備感染了這三種病毒,這便意味著開(kāi)發(fā)者可以獲利至少405萬(wàn)美元,每天!

病毒家族的主要技術(shù)特點(diǎn)

1、病毒家族能夠繞過(guò)谷歌市場(chǎng)以及其他應(yīng)用市場(chǎng)的安全監(jiān)控,因此他們能夠在許多合法應(yīng)用市場(chǎng)發(fā)布惡意程序,由此獲得大批用戶。

2、這個(gè)病毒家族利用現(xiàn)存的安卓系統(tǒng)漏洞進(jìn)行提權(quán)操作,因此他們能夠?qū)τ脩粼O(shè)備進(jìn)行ROOT,讓用戶無(wú)法卸載病毒。CM已經(jīng)發(fā)現(xiàn)了一些被利用進(jìn)行提權(quán)的漏洞,如下所示:

  解決方案

這個(gè)病毒家族可以自動(dòng)獲取你手機(jī)的根權(quán)限,ROOT受影響設(shè)備并獲取系統(tǒng)級(jí)別的訪問(wèn)權(quán)。病毒一旦感染,即使使用殺毒工具,用戶也很難擺脫,重啟手機(jī)之后這些惡意軟件依舊出現(xiàn)。幸運(yùn)的是,目前清理大師和CM安全已經(jīng)研發(fā)出一種處理病毒的機(jī)制,適用于這種特殊的病毒家族,請(qǐng)點(diǎn)擊鏈接進(jìn)行獲取。

參考

1.http://www.cmcm.com/blog/en/security/2015-09-18/799.htmll

2.http://blog.checkpoint.com/2015/09/21/braintest-a-new-level-of-sophistication-in-mobile-malware/

3.https://www.fireeye.com/blog/threat-research/2015/09/guaranteed_clicksm.html

4.http://blog.trendmicro.com/trendlabs-security-intelligence/two-games-released-in-google-play-can-root-android-devices/

5.https://www.fireeye.com/blog/threat-research/2015/10/kemoge_another_mobi.html

附錄:GhostPush樣本

MD5s:https://docs.google.com/document/d/1HL6CarctYO7ekGcskNvZuMv9ws_BHdcPYzz2iTI-vKw/edit?usp=sharing

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)