跳至主要内容

Android病毒分析之《王者荣耀刷皮肤》

http://ift.tt/2G9wJ0d

病毒信息

大小: 261080 bytes
修改时间: 2016年3月19日, 22:57:58
MD5: CB9E3C9C5CDED91F96AA9662BA150DB8
SHA1: 3852A0324A1B57B23DE15A6D5298E61BF4C087E2
CRC32: D4DA0CB5

病毒行为

  • 获取锁屏权限
  • 设置设备管理器权限
  • 获取修改屏幕密码的权限

使用工具

  • AndroidKiller
  • jeb2.2.7

病毒执行

打开软件，点击立即使用之后，会让进行权限选择，不激活就提示不激活的话不能使用全部功能

这里看获取的权限是更改屏幕锁屏密码和锁定屏幕
点击激活之后黑屏，退出之后发现屏幕被锁，并设有勒索信息

病毒分析

首先分析注册文件发现了了一个服务，这个服务中有DEVICE_ADMIN_ENABLED权限

这个DEVICE_ADMIN_ENABLED 权限主要是使用了DevicePolicyManager这个类，其可以实现实现屏幕锁定、屏幕亮度调节、出厂设置等功能。如果这个设备管理器激活成功的话，那么Action就是ACTION_DEVICE_ADMIN_ENABLED， 据此调用 onEnabled 方法。因此去查看MyAdmin这个服务的onEnable方法就是最主要的


查看onEnable函数，发现了一个方法，getSharedPreferences这个方法，这个方法可以获取以xml文件保存的键值对，而且这个保存键值对的xml文件，必须保存在data/data/包名/shared_prefs这个目录下
但是进去这个路径之后，发现目录下并没有这个文件夹

也就是说明其实获取的空的，但是后面又想通过getString这个方法获取xml实例中的“test"的字符串，但是其实是没有的，str只能等于6699了

同时通过图片可以看到，下面有lockNow函数和resetPassword函数，见名知意，同时resetPassword的参数是str，也就是说锁屏的密码其实是6699

卸载应用

虽然有了密码可以进去了，但是在卸载的时候，发现无法卸载

原因是程序已经激活了设备管理器，需要去设备管理器中关掉，才能卸载程序

The post Android病毒分析之《王者荣耀刷皮肤》 appeared first on cole.

http://ift.tt/2rya7Df android_virus, android virus, virus January 24, 2018 at 07:05PM
标签：

评论

发表评论

此博客中的热门博文

反Hook 之自己实现GetProcAddress和LoadLibraryA（c++ version）

http://ift.tt/2AocAD0 // 课上练习.cpp : 定义控制台应用程序的入口点。 // #include "stdafx.h" #include <windows.h> //要实现的功能： /* 自己实现GerProcAddress LoadLibraryA */ //思路： /* GerProcAddress和LoadLibraryA都是在Kernel32.dll中的 首要的任务就是找到Kernel32.dll，然后遍历IAT就能找到这两个函数 现在首要的难点就是如何找到kernel32.dll() 通过dll的加载顺序可以找到，而且虽然需要使用未文档化的API，但是好在windgb可以直接看，而且用到的也并不是很多 懒得去晚上搜了，直接自己实现一个得了，作为演示，能用就行（最好还是搜一个正规的结构体） */ /* 0: kd> dt _TEB /a nt!_TEB +0x000 NtTib : _NT_TIB +0x01c EnvironmentPointer : Ptr32 Void +0x020 ClientId : _CLIENT_ID +0x028 ActiveRpcHandle : Ptr32 Void +0x02c ThreadLocalStoragePointer : Ptr32 Void +0x030 ProcessEnvironmentBlock : Ptr32 _PEB //首先实现部分TEB结构体，因为只需要用的PEB的部分，所以实现到这就ok了 */ //构建 TEB typedef struct _TEB { //保证0x30是peb的结构体就ok了 struct _tem { DWORD a1; DWORD a2; DWORD a3; DWORD a4; DWORD a5; DWORD a6; DWORD a7; DWORD a8; DWORD a9; DWORD a10; ...
发表评论
阅读全文

IDA动态调试ELF中遇到的问题（1）

https://ift.tt/2Gxnf2F 遇到 got SIGCHLD singal（child status has changed）...这种提示 singal fork了子进程 直接点yes，然后继续单步执行，出来提示 pass to application就行了 内存查看 用od习惯了之后，凡事都想右键看一下内存，但是IDA中好像没有那么如意， 目前只是在栈中右键发现有查看hex的选项 动态调试的时候的nop ida保存动态调试的时候修改的数据 方法一：在程序运行的时候保存 The post IDA动态调试ELF中遇到的问题（1） appeared first on cole . https://ift.tt/2q9Qf5g WHATEVER April 05, 2018 at 09:44AM
发表评论
阅读全文

32位ARM汇编语言（四）数据处理指令

http://ift.tt/2Gwa4v5 基本指令介绍 数据传送指令 比较指令 cmp{条件}操作数1，操作数2 CMN{条件}操作数1，操作数2 TST{条件}，操作数1，操作数2 TEQ{条件} 操作数1，操作数2 算数逻辑运算指令 ADD{条件}{S}目的寄存器，操作数1，操作数2 ADC{条件}{S}目的寄存器，操作数1，操作数2 RSB{条件}{S}目的寄存器，操作数1，操作数2 RSC{条件}{S}目的寄存器，操作数1，操作数2 AND{条件}{S}目的寄存器，操作数1，操作数2 EOR{条件}{S}目的寄存器，操作数1，操作数2 BIC{条件}{S}目的寄存器，操作数1，操作数2 基本指令介绍 数据传送指令 数据传送指令用于在寄存器和储存器中之间进行数据的双向传输 比如：MOV ，MVN 算数逻辑运算指令 完成常用的算术与逻辑运算，该类指令不但将运算结果保存在目的寄存器中，同时更新CPSR中相应条件表示位 比如：ADD,ADC,SUB,SBC,RSB,RSC,AND,ORR,EOR,BIC 比较指令 不保存运算结果，只更新CPSR中相应的条件标志位 比如：CMP,CMN,TST,TEQ 数据传送指令 指令 描述 MOV{条件}{S}目的寄存器，操作数 数据传送指令 MVN{条件}{S}目的寄存器，操作数 数据取反传送指令 {S}选项决定指令的操作是否影响CPSR中条件标志位的值 MVN与MOV不同之处是在传送之前按位被取反 __asm__ ("mov ri,r0“）; //将寄存器R0的值传送到寄存器R1 __asm__(”mov r1,r0,lsl#3"); //将寄存器R0的值左移3位后传到R1 __asm__(“mov pc,lr"); //将寄存器lr的值传送到pc，常用于子程序返回 __asm__("mvn r0，#0”）; // 将立即数0 取反传送到寄存器R0中，完成后R0=-1 比较指令 指令 描述 CMP{条件}操作数1，操作数2 比较指令 CMN{条件}操作数1，操作数2 比较反值指令 TST{条件...
发表评论
阅读全文