Android के लिए रिवर्स-इंजीनियरिंग सिंगल वायरस

मैं एक जावा प्रोग्रामर हूं और बहुत पहले एंड्रॉइड के लिए जावा सीखना शुरू नहीं किया था। आज, एक बहुत ही दिलचस्प अधिसूचना "मुझे फ़्लैश प्लेयर को अपडेट करने की आवश्यकता है" मेरे टैबलेट को मिला, अगर यह एंड्रॉइड प्लेटफॉर्म में पेशेवर हित के लिए नहीं था, तो सबसे अधिक संभावना है कि मैं इसे याद करूंगा और आराम करना जारी रखूंगा, लेकिन आज एक ठंडी रविवार की शाम है और मैंने यह देखने का फैसला किया कि वायरस के तहत क्या है? हुड। "
वैसे, लोगों को उनके "फ्लैशप्लेयर" की रिलीज के समय एक अच्छा अनुमान था: सचमुच उससे एक घंटे पहले, मैं एक अस्पताल में एडोब से सामान्य फ्लैशप्लेयर को अपडेट कर रहा था।
यदि आप रुचि रखते हैं - कृपया, बिल्ली के नीचे। कट के नीचे कुछ स्क्रीनशॉट हैं।


इसलिए, मैंने टैबलेट पर एपीके डाउनलोड किया, लॉकआउट ने तुरंत शाप दिया कि यह एक ट्रोजन था और फ़ाइल को नुकसान के रास्ते से तुरंत हटाने का सुझाव दिया। हटाने से इनकार करते हुए, मैंने आगे के शोध के लिए एफ़टीपी सर्वर के माध्यम से अस्पताल में apk स्थानांतरित किया।

पहली बात यह थी कि APKtool (लेख के अंत में उपयोग किए जाने वाले कार्यक्रमों के सभी लिंक) का उपयोग करके संग्रह को अनज़िप करना था।



सबसे पहले, मैंने एंड्रॉइड मेनिफेस्ट पर ध्यान दिया।

डिवाइस फ़ंक्शन का एक पूरा (अच्छी तरह से, या लगभग सभी) सेट था। मानक के अलावा (वायरस प्रोग्राम के लिए) प्रकार की अनुमति:

<uses-permission android:name="android.permission.READ_SMS" />
<uses-permission android:name="android.permission.SEND_SMS" />
<uses-permission android:name="android.permission.RECEIVE_SMS" />
<uses-permission android:name="android.permission.READ_CONTACTS" />
<uses-permission android:name="android.permission.UPDATE_DEVICE_STATS" />
<uses-permission android:name="android.permission.CHANGE_WIFI_STATE" />
<uses-permission android:name="android.permission.WRITE_SETTINGS" />



ऐसी बातें थीं:

<uses-permission android:name="com.android.alarm.permission.SET_ALARM" />
मुझे अलार्म घड़ी तक पहुंच की समझ नहीं है।

<uses-permission android:name="android.permission.RECEIVE_BOOT_COMPLETED" />
इस घटना पर नज़र रखने से, यह लोड होने के तुरंत बाद तुरंत निष्पादित होता है।

वायरस भी मॉनिटर करता है:

1. नेटवर्क से कनेक्ट / डिस्कनेक्ट करें:
   <intent-filter>
<action android:name="android.net.conn.CONNECTIVITY_CHANGE" />

   
2. SMS'ki को भेजा
   <intent-filter android:priority="999">
<action android:name="android.provider.Telephony.SMS_RECEIVED" />
   

और सेवा को पंजीकृत करता है:
<service android:name="dsrhki.yjgfqjejkjh.gbjutaxgp">
<intent-filter>
<action android:name="dsrhki.yjgfqjejkjh.gbjutaxgpStart76" />


यदि आप डिवाइस पर एप्लिकेशन इंस्टॉल करते हैं, तो इंस्टॉलेशन इस तरह दिखता है:



घोषणापत्र के बाद, मैंने संसाधनों पर ध्यान दिया: कुछ भी दिलचस्प नहीं था: मानक फ्लैश प्लेयर आइकन सभी के लिए घनत्व और स्ट्रिंग्स.xml के लिए आकार में एक 72 से 70 तक का आकार:
Loading


सबसे दिलचस्प था संपत्ति फ़ोल्डर में।


फाइल फोल्डर में 6 लोगों की तस्वीरें, 4 लड़कियों की तस्वीरें, एक tabor.css फ़ाइल (कुछ शैलियों के साथ) और जाहिर तौर पर a.txt टेक्स्ट फ़ाइल नहीं है (यूनिक्स यूटिलिटी फ़ाइल ने वास्तव में यह निर्धारित करने में मदद नहीं की कि यह क्या है, a.txt: data लैकोनिक कह a.txt: data

सीएसएस, छवियों और जेएस फ़ोल्डरों में html पृष्ठों को रेंडर करने के लिए सहायक चीजें थीं।

White.html पृष्ठ इस तरह दिखता है:



जाहिर है, लेखकों ने बहुत ही बेवकूफ उपयोगकर्ताओं (फ्लैश प्लेयर आइकन) के लिए एक गणना की, लेकिन उन्होंने ओपेरा मिनी 6.5 (जो अक्सर अनुप्रयोगों में AdMob के माध्यम से वितरित किया जाता है) को लोड करने का सुझाव दिया।

एक बटन के क्लिक पर, जेएस स्क्रिप्ट चालू हो जाती है, जो payed.html पर पुनर्निर्देशित करती है

White.html में भी एक छिपा हुआ डिव है: हार्डकोड लिंक के साथ:

:
yerc1.net/?u=64504 .

Payed.html पेज पर, लिंक अलग है:

:
filesesa.net/?u=90-656jc5y9ny1yc2fb0d .

Sendcontacts.html पृष्ठ में केवल payed.html पर पुनर्निर्देशित है

सबसे दिलचस्प पृष्ठ test.html है ।

JS c jQuery सक्रिय रूप से वहां उपयोग किया जाता है।

एल्गोरिथ्म इस प्रकार है:

1. सबसे पहले, एक आइकन और एक शिलालेख प्रदर्शित किया जाता है: "स्थापना के समय प्रतीक्षा करें।"
2. फिर, JS का उपयोग करके, एक यादृच्छिक टाइमआउट की गणना की जाती है
   timeout = Math.floor((Math.random()*100)+1) + Math.floor((Math.random()*100)+1);
   उसी समय, उपयोगकर्ता को एक फर्जी प्रोग्रेसबार दिखाया जाता है
   
3. प्रतीक्षा के अंत में, शर्त की गणना की जाती है:
   (androidInfo.match(/operator3/) == 'operator3' || androidInfo.match(/operator13/) == 'operator13' )
   
   यदि ऑपरेटर 13 है, तो संदेश प्रदर्शित होता है:
   $('#paymentinfo').html(' , 29900. ');
   
   एक मुफ्त आवेदन के लिए अच्छी कीमत ...
   
   यदि ऑपरेटर = 3, तो संदेश है: "सेवा का भुगतान किया जाता है, वैट के साथ 354 रूबल से अधिक नहीं।"
   
   यदि दोनों नहीं है, तो फिर offerta.html का लिंक दिखाया गया है
   

Offerta.html में सेवा फ़्लैशप्लेयर-ru.net और सब्सक्राइबर के बीच का समझौता है।

पूरा पाठ infomobiles.net/oferta.php पर पढ़ा जा सकता है

मैं सबसे उल्लेखनीय क्षण दूंगा:

• सॉफ़्टवेयर उत्पाद एक इंस्टॉलेशन मॉड्यूल ("एप्लिकेशन") है जो ऑनलाइन संसाधन फ़्लैशप्लेयर-ru.net की सेवाओं तक पहुंच प्रदान करता है
• पंजीकरण प्रक्रिया के दौरान ... प्रीमियम टैरिफिकेशन वाले डिजिटल पहचानकर्ताओं को तीन दूरसंचार संदेश भेजे जाते हैं
• आप उस ग्राहक स्टेशन के तकनीकी मापदंडों के बारे में जानकारी प्रदान करते हैं जिसका उपयोग आप संगत अनुप्रयोगों या संगत अनुप्रयोगों को लिंक प्रदान करने के लिए कर रहे हैं।
• लागत 1062 रूबल है
• ... आपको मेल द्वारा ग्राहक सहायता से संपर्क करना होगा: me.s.mobile@gmail.com।

और इन सभी नियमों के बाद आगे एक बटन है, जिस पर क्लिक करके पीड़ित को payed.html पर स्थानांतरित कर दिया जाएगा, जहाँ उसे files.net लिंक मिलेगा।

Whois द्वारा हमें पता चलता है कि डोमेन flashplayer-ru.net 06.22.2012 को बनाया गया था, और filesesa.net 4 सितंबर को। शेष सभी समान है

Domain Name: FILESESA.NET
Registrar: INTERNET.BS CORP.
Whois Server: whois.internet.bs
Referral URL: www.internet.bs
Name Server: NS3.SUPERIDNS.NET
Name Server: NS4.SUPERIDNS.NET
Status: ok
Updated Date: 04-sep-2012
Creation Date: 04-sep-2012
Expiration Date: 04-sep-2013


फिर मैं रजिस्ट्रार की वेबसाइट पर गया (bs बहामा है) और एक तकनीकी सपोर्ट गर्ल से बात की, जिसने मुझे ईमेल के जरिए दुर्व्यवहार के दुरुपयोग का संदेश भेजने की सलाह दी @@ternternet.bs।

गालियों में लिखते हुए मैंने खुदाई जारी रखी। अनपैक्ड आर्काइव में स्माइली फाइलें भी होती हैं। लेकिन .smali से .java को उलटने के विषय पर Google, मैंने मूल एपीके संग्रह पर लौटने का फैसला किया। Apk-shku सरल 7-zip'om को अनपैक करने पर मुझे वहां कक्षाएं मिलीं।

फिर डेक्स 2जर ने व्यवसाय में प्रवेश किया।



और फिर जेडी-जीयूआई, जिसने मुझे कोड दिया:


ऐसा लगता है कि कोड भारी रूप से बाधित है। मुझे अभी तक पूरी तरह से पता नहीं चला है कि वेब पेज कैसे कहे जाते हैं, लेकिन एमुलेटर पर वायरस लॉन्च करके, मैं कह सकता हूं कि यह रिबूट के तुरंत बाद शुरू होता है और तुरंत क्रैश हो जाता है।

मैंने हमारी प्रयोगशाला की वेबसाइट पर परिणामी कोड पोस्ट किया है: virtalabs.net/apkHack/flash-player.sc.gov.in

एपीके ही वहां पाया जा सकता है: virtalabs.net/apkHack/flash_player_installer.apk

और अनपैक्ड फोल्डर यहां है: virtalabs.net/apkHack/FlashPlayer

अब मैं रजिस्ट्रार की प्रतिक्रिया की प्रतीक्षा कर रहा हूं। चूंकि साइटें रूसी में एक सीआईएस दर्शकों के लिए बनाई गई हैं (जैसा कि उपयोगकर्ता समझौते से देखा जा सकता है, कम से कम), क्या यह विभाग K के लिए रिवर्स परिणाम भेजने के लायक है?

मुझे उम्मीद है कि यह लेख एंड्रॉइड समुदाय में रुचि जगाएगा और किसी को इस प्रकार के वायरस को स्थापित करने से बचाएगा।

और जैसा कि मैंने उपयोग किए गए कार्यक्रमों के लिंक का वादा किया था:

APKtool - code.google.com/p/android-apktool

Dex2Jar - code.google.com/p/dex2jar

जेडी-गुई - java.decompiler.free.fr/?q=jdgui

जेडी-गुई के पास ग्रहण आईडीई (http://java.decompiler.free.fr/?q=jdeclipse) के लिए एक संस्करण है - लेकिन मैं जेडी वेबसाइट के साथ समस्याओं के कारण इसे स्थापित नहीं कर सका।

केन किंडर के लेख: kkinder.com/2011/11/27/so-you-want-to-reverse-engineer-an-android-app-apk से भी मुझे बहुत फायदा हुआ