揭秘:独特的技术手段,远程控制你的手机

原文出处: FreebuF.COM

我们最近在分析恶意样本时候发现了两类独特的技术手段,一种利用轻量级web服务器jetty来窃取用户隐私,另一种使用Androidpn推送指令来远程控制。

一、更独特隐蔽的隐私窃取—web服务器

这类木马利用轻量级web服务器jetty将目标手机变成服务器后,通过url请求获取手机上的任意资源,造成用户隐私泄露。

工作方式:

在目标手机上设置jetty服务器后,通过浏览器等请求特定的URL,可获取目标手机上的资源,包括隐私信息等。

架构如下:

43221405217235

 

获取用户隐私信息对应的url路径:

19401405217235

 

该木马通过将目标手机变成服务器后,通过url请求获取手机上的任意资源,造成用户隐私泄露,这种方式更为独特而隐蔽。

二、另类指令获取—Androidpn推送

AVL移动团队近期发现了一种使用Androidpn推送指令的远控间谍软件,该程序伪装成系统应用、诱导用户激活设备管理器,根据推送获取的指令来进行上传通话记录、通话录音、环境录音、联系人、短信箱、地理位置等隐私信息,并能执行修改短信箱内容、私发短信、拦截短信、屏蔽来电等操作,窃取用户隐私、影响手机的正常体验。

android push notification原理(源自Androidpn界面截图):

36341405217236

 

向用户手机客户端push消息(源自Androidpn界面截图):

15661405217237

 

登录xmpp服务器,获取消息指令(源自Androidpn界面截图):

56951405217237

 

远控模块流程:

14049899523141 (1)

 

87021405217240

 

此外,该应用能接收指令,私自修改替换短信箱中的内容。。

49091405217242

 

该样本使用少见的Androidpn推送方式来获取指令,加上多种窃取隐私信息,尤其修改短信箱内容功能更为罕见。

三、小结

随着时间的推移,恶意代码也会使用到各种新的技术和手段,逐步强大而隐蔽,更与安全软件对抗起来。手机设备性能的提升,使得种种PC上的服务变得可能,Android系统功能的增多也给恶意软件带来更多的途径。



发表评论

电子邮件地址不会被公开。 必填项已用 * 标注

您可以使用这些 HTML 标签和属性: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code class="" title="" data-url=""> <del datetime=""> <em> <i> <q cite=""> <strike> <strong> <pre class="" title="" data-url=""> <span class="" title="" data-url="">