欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

“美颜”有毒

来源:本站整理 作者:佚名 时间:2019-02-01 TAG: 我要投稿

我们在Google Play上发现了几款美容相机应用(检测为AndroidOS_BadCamera.HRX),可以访问用于恶意目的的远程广告配置服务器。其中一些已经被下载了数百万次,考虑到这些类型的应用程序的流行,这并不奇怪。大量的下载来自亚洲,尤其集中在印度。

图1. Google Play上恶意美容相机应用的屏幕截图
技术分析
下载应用程序的用户不会立即怀疑其有任何不妥之处,直到他们决定删除该应用程序。以com.beauty.camera.project.cloud包为例,它将在启动后创建一个快捷方式。但是,它会将其图标从应用程序列表中隐藏,这使得用户更难以卸载该应用程序,因为他们无法拖动和删除。此外,相机应用程序使用加壳程序来防止它们被分析。

图2.显示恶意应用程序如何从应用程序列表中隐藏自身的代码段
当用户解锁设备时,该应用会推送几个全屏广告,包括将通过用户的浏览器弹出的恶意广告(如欺诈性内容和色情内容)。在分析过程中,我们发现了一个付费的在线色情播放器(检测为AndroidOS_PornPlayer.UHRXA),在点击弹出窗口时下载了该播放器。但请注意,即使在用户付费并启动播放器之后,也不会播放任何内容。
没有任何迹象表明这些应用程序的背后是广告,因此用户会很难发现它们的来源。其中一些应用程序重定向到网络钓鱼网站,要求用户提供个人信息,例如地址和电话号码。例如,在下图中,单击中间屏幕截图中的“确定”按钮将用户重定向到新页面,这将为用户提供三次尝试以赢得奖品。第三次尝试将始终允许用户获胜,之后将出现一个表单,询问用户详细信息。

图3.弹出广告的屏幕截图(中间截图中的中文文本是用户赢得iPhone X的公告,在弹出窗口上单击确定将显示钓鱼网站)
该应用程序将从以下远程服务器和外部URL下载广告配置,它们将分析目标设备以确定广告的行为:
· hxxps://d3pukqxlxhielm.cloudfront.net/congfig[.]json
· hxxps://dgld3i8oh1hf6.cloudfront.net/congfig[.]json
然后安排后台服务解析配置并调用设备的浏览器。


图4和5.网络流量和代码段显示浏览器弹出不需要的广告
另一批恶意相机应用程序
进一步深入调查后,发现了另一批与照片过滤器相关的应用程序,它们在Google Play上具有相似的行为。这些应用程序允许用户通过将他们的图片上传到指定的服务器来“美化”。但是,用户不会获得最终已编辑的照片,取而代之的是使用九种不同语言的假冒更新提示获取图片。作者可以收集在应用程序中上传的照片,并可能将其用于恶意目的 – 例如,在社交媒体中伪造的个人资料照片。

图6:ART照片编辑器(中间:“编辑过程”,右:虚假更新)
这些应用程序使用的远程服务器在代码中使用BASE64编码了两次。此外,其中一些应用程序也可以通过上面提到的相同隐藏技术隐藏自己。
在撰写本文时,谷歌已经删除了这些应用程序。

图7:从Google Play下载的恶意相机过滤应用
建议
鉴于许多恶意应用程序看起来都很合法,用户应该始终调查应用程序的合法性。一个好方法是检查来自其他用户的评论。如果评论提到任何类型的可疑行为,那么就不要下载应用程序。

图8.来自其中一个应用程序的评论(大多数分数是五星级或一星级,呈“U”形曲线,这可能表明合法评论者给出的评分较低,而假冒评分则给出尽可能高的评分)
IoCs

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载