移动APP背后的秘密:间谍APP大阅兵


发布人:admin分类:网络安全浏览量:25发布时间:2017-12-12

随着移动互联网技术的飞速发展,移动智能系统的逐步成熟,搭载着智能系统的手机、平板大量涌现,于是智能系统的重要组成部分App应用火了。无论您使用的是手机还是平板电脑,或者其他设备,面对如此海量的App,在安装和使用这些形形色色的App时是否想到过这样的事情,一些App背后偷偷地在窃取着您的个人敏感隐私!

下面我们就来看看它们背后都做了哪些不可告人的秘密。

一、窃取,无处不在

1.1 盗取金融账号信息

2013是互联网金融开始爆发的一年,针对这块”肥肉”恶意应用自然不甘寂寞。

当点击招商银行登陆界面时,会跳转到SocketDemo这个activity。

  

应用进入到SocketDemo这个activity,用户输入账户、手机号和密码,点击send按钮,便会向”1891128940″号码发送以上信息,从而盗取用户账号及密码。

同时也发现有伪装成支付宝,工商银行,建设银行,交通银行等登录界面,几乎可以假乱真,实则后台获取账号密码等敏感信息并通过短信发送。

 

以获取支付宝密码为例,分别获取支付宝账号,密码及支付密码并以#号连接,之后base64加密再短信形式发送。

不仅仅是国内,国外的银行盗号也很严重。

其中 Santander是一个西班牙银行的名称,Clave de firma是西班牙语,翻译后为:签名密钥。这个样本的主要行为就是:

伪装成银行的在线口令生成器,诱骗用户在Clave de firma下的控件内输入自己的银行密码,并随机生成虚假的口令(mToken)显示给用户。这时用户的银行密码通过短信和网络的形式被泄露,并且在之后配合样本,截取到银行发送给用户的手机验证码,攻击者可以在用户完全不知情的情况下窃取用户的银行财富。

1.2 盗取聊天应用消息记录

“听风者”现实中的监听,该应用运行界面及网站功能说明,此软件还有一个登录后台可查看聊天记录

 

国外间谍应用的功能更是有过之而无不及。

其中左图为该程序运行后的界面,右图为后台查看的一些社交或聊天应用的消息。

 

如获取whatsapp消息记录

加强安全意识,增加安全防范,不要让无形的”听风者”让你成为某某门的主角哦。

1.3 盗取更多隐私

获取短信记录,如敏感的支付宝或银行相关信息

获取通话录音、SMS信息、定位信息、环境录音

获取手机通话记录


获取SD卡文件列表。

获取联系人信息

没有想不到,只有做不到,一旦中招,就没有隐私可言了。知己知彼,接下来我们总结下这些间谍件的常用行为流程及功能,不要让自己成为”肉鸡”。

二、控制方式

2.1 短信指令控制

家族:MguSpy.a

说明:该程序运行后进行短信监听,接收远程短信指令控制。

2.2 网络指令控制

家族:Lien.d

说明:连接恶意远程服务器,接收服务器指令控制

2.3 google云推送

家族:Tramp.a

说明:其实该控制方式也属于网络的一种,只有不是直接由恶意远程服务器控制,而由google云服务器进行指令发送,具有一定隐蔽性。

注册google GCM监听广播

根据指令执行相关操作。

三、隐私回传方式

3.1 短信方式回传


家族:Lurker.a

说明:短信回传操作简单,实用(只要手机还有话费即可)。一般个人开发的程序采用此种方式,当然也有程序通过短信发送回执信息,如指令招行成功与否。

发送短信记录

发送通话记录

3.2 网络方式回传

家族:VladoSpy.a

说明:一般通过网络回传的间谍件,都有一个功能强大的后台管理系统,进行统一查看或管理。该类间谍件一般功能强大,大都是要收费的。

获取设备信息

短信记录

3.3 邮箱方式回传

家族:Dd1d.e

说明:通过邮箱发送用户相关信息或程序安装状态等。

通过163邮箱进行发送

已发送邮件


四、常见功能

典型功能:短信记录,通话记录,联系人等。

4.1 获取短信记录

访问短信常见协议

4.2 获取通话记录

常用uri: CallLog.Calls.CONTENT_URI;

4.3 获取联系人信息

获取联系人uri: android.provider.ContactsContract.CommonDataKinds.Phone.CONTENT_URI, android.provider.Contacts.People.CONTENT_URI

4.4 通话录音

常见的有通话或环境录音

4.5 拍照

拍摄照片

五、借我一双慧眼–识别间谍应用

5.1 无图标或隐藏图标

无activity,安装无图标,仅有广播和服务。

首次安装有图标,但下次运行会隐藏图标的。

一般通过setComponentEnabledSetting API进行隐藏图标。

5.2 激活设备管理器

AM注册有激设备管理器,而又无图标或隐藏图标的。

5.3 短信监听

会监听短信,有拦截行为,同时会对短信内容进行判断的,如*,#开头的,等不同于一般用户发短信习惯的。

5.4 大量可疑权限

短信,联系人,定位等大量可疑权限,同时包名又比较可疑的。

一般来说同时拥有以下三种或以上权限很可疑。



5.5 邮件发送

有邮件发送代码同时有大量可疑权限及服务。

5.6 包名伪装系统服务

包名和程序名伪装系统服务或应用。

5.7 大量字串比较

字串比较一般用于指令的匹配。

如:startsWith

如:equals

5.8 字串表关键字

直接搜索字串表,看到很多敏感关键字的。

中文:指令,开启录音,通话,上传

英文:uploadgps,uploadrecord

其实明显指令提示信息。

5.9 通话监听


监听拨打电话并对号码进行判断的,所拨打号码一般包含*,#等,不是用户常规拨打号码。

5.10 服务过多,activity较少。

5.11 查看包结构

间谍件一般目地性较强,组织结构较清晰,若包名中包含:call,contact,gps,record,server,task等较为可疑。

六、小结

间谍类程序功能强大,一旦中招,个人将再无隐私可言,危害极大。同时还具有隐蔽性强(安装无图标,仅启动服务),不易清除(激活设备管理器,防卸载)等特点。针对此类间谍应用,安天安全专家建议,养成安全意识,从知名站点下载应用,未运行此软件用户可直接清除。

同时可以下载AVL移动安全团队AVL Pro对恶意应用进行查杀。

[via Gandalf]


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21456286(PV) 页面执行时间:76.147(MS)
  • xml
  • 网站地图