5月中旬，360手機(jī)安全中心收到用戶反饋稱，自己的手機(jī)經(jīng)常自動安裝新的游戲應(yīng)用程序，360手機(jī)安全中心分析調(diào)查發(fā)現(xiàn)，該用戶招募了一款名為“萬藍(lán)”的ROM級手機(jī)木馬。這個木馬影響了10萬人以上。

該木馬主要通過聯(lián)網(wǎng)下載shell腳本文件進(jìn)行靜默安裝推廣應(yīng)用，并可以實現(xiàn)自身升級。360手機(jī)安全中心發(fā)布技術(shù)博客，對“萬藍(lán)”木馬進(jìn)行詳細(xì)分析。

360技術(shù)博客介紹，“萬藍(lán)”木馬主要通過植入ROM，通過刷機(jī)網(wǎng)站進(jìn)行傳播。到目前為止，惡意樣本主要是植入為夏新、聯(lián)想、小采等手機(jī)開發(fā)的三方ROM進(jìn)行傳播，用戶手機(jī)刷入被感染的ROM后，木馬便瘋狂地開始推廣傳播各種應(yīng)用，總數(shù)高達(dá)近百種。

“萬藍(lán)”木馬會聯(lián)網(wǎng)下載shell腳本文件，把要執(zhí)行的惡意行為寫在腳本里，木馬的wlan進(jìn)程大部分功能在于執(zhí)行這些腳本，這樣就大大方便了病毒作者進(jìn)行更新，也方便作者控制中招手機(jī)去執(zhí)行更多惡意行為，潛在風(fēng)險巨大。

技術(shù)博客分析指出，“萬藍(lán)”木馬啟動時會嘗試給自身在系統(tǒng)目錄中建立一些符號鏈接，當(dāng)系統(tǒng)中有其它程序執(zhí)行這些命令時，木馬就會被啟動。之后，通過初始化任務(wù)池、建立自身運行時所需的目錄和文件進(jìn)行手機(jī)木馬初始化，為之后執(zhí)行惡意行為做準(zhǔn)備。值得注意的是，該木馬啟動后會初始化一個結(jié)構(gòu)體，里面包含了50個可執(zhí)行命令任務(wù)池的子結(jié)構(gòu)。

360手機(jī)安全專家分析指出，“萬藍(lán)”木馬是通過Linux管道來進(jìn)行通信的，管道是Linux的一種通信方式，相當(dāng)于一根管子，一個人在管子左邊，一個人在管子右邊，左邊的人不停的往管子里放東西(寫數(shù)據(jù))，右邊的人就不停的從管子拿東西(讀數(shù)據(jù))，右邊的人拿到數(shù)據(jù)后就能夠處理這些數(shù)據(jù)了，“萬藍(lán)”木馬作者將要執(zhí)行的命令、腳本寫到管道里，之后wlan進(jìn)程就可以執(zhí)行這些命令。

木馬從服務(wù)器上獲取要運行的命令(shell腳本)，再調(diào)用諸如input、am、pm等系統(tǒng)命令，木馬就可以實現(xiàn)啟動應(yīng)用、靜默安裝應(yīng)用、卸載應(yīng)用、結(jié)束應(yīng)用、刪除應(yīng)用數(shù)據(jù)、結(jié)束后臺進(jìn)程、發(fā)布intent廣播等40多種惡意行為。

此外，該木馬還會通過兩種策略實現(xiàn)自更新，一種是檢測自身主體wland文件的版本來判斷是否需要更新，一種是根據(jù)距離上次檢測更新的時間來判斷是否需要更新。該木馬自升級以后還可以實現(xiàn)私發(fā)短信、屏蔽短信、撥打電話等惡意行為。

通過遺留在木馬早期版本中的信息，360手機(jī)安全中心發(fā)現(xiàn)了木馬作者以及公司的相關(guān)信息，通過木馬鏈接的服務(wù)器地址判斷，該服務(wù)器屬于上海某科技公司，而木馬作者也可能就職于該公司。

目前，360系統(tǒng)急救箱已經(jīng)支持對該類惡意軟件進(jìn)行查殺，如遇到病毒反復(fù)查殺、手機(jī)自動安裝軟件等普通手機(jī)殺毒軟件不能解決的異?，F(xiàn)象，建議使用360系統(tǒng)急救箱進(jìn)行查殺。同時建議手機(jī)用戶從正規(guī)渠道購買手機(jī)，安裝360手機(jī)衛(wèi)士保護(hù)手機(jī)安全。

詳細(xì)分析地址：

聲明：IT之家網(wǎng)站刊登/轉(zhuǎn)載此文出于傳遞更多信息之目的，并不意味著贊同其觀點或論證其描述。