Maizie

4 posts
RSS
深度揭秘移动黑产是如何通过插件化技术谋取利益(三)

深度揭秘移动黑产是如何通过插件化技术谋取利益(三)

近期的样本分析中,因需要清理类似的插件化恶意应用,我们针对性的对此类应用进行了排查。我们扫描了上万来自某应用市场的样本,其中样本的种类分布如下:这次的扫描结果也令我们大为吃惊,我们最终发现了100余款恶意的APP,此类APP多数为游戏或工具类软件,以下是其中部分恶意软件的应用名称:这些应用少有几万,多则百万的下载量,且重打包并植入了恶意代码,可见其影响力巨大!仅一个渠道就有上百的恶意应用,难以想象有多少恶意应用被分发出去。列表中已经下架的一款应用,下架前有着百万的下载量,现已通过更换图标以及特征的方式重新上架,这样便可以在被杀毒检测出来后,更改掉自身的指纹规避查杀,此技术俗称为免杀。换了马甲重新来过,可谓野火烧不尽,春风吹又生。因这类应用图标多数与APP的名称以及内容不相符,而为了更好的避免被查杀,该类应用会使用APP加固服务进行自我保护:被腾讯乐固加固过的apk安装包应用被加固后很难被静态扫描查杀,与以往的报道类似(传送门: https://blog.trustlook.

深度揭秘移动黑产是如何通过插件化技术谋取利益(二)

深度揭秘移动黑产是如何通过插件化技术谋取利益(二)

几个月前,Trustlook安全研究人员在使用其移动样本深度分析审核平台App Insight对国内某应用商店进行常规审核时,截获了一款利用沙盒技术规避查杀的流量木马,进而顺藤摸瓜,挖掘出了背后的黑产利益链。(传送门:https://blog.trustlook.com/hei-chan-li-qi-an-zhuo-duo-kai/)虽然文章在当时引起了很大的反响,但最近我们发现该作案团伙的活动并未姑息,而是依旧活跃在各大应用商店等渠道,进行着不法牟利。本月,我们通过App Insight再次拦截到了一部分样本,并从中抽取了其中一款APP的存档:截至目前,该应用在某应用商店已经高达228余万次的下载,在其他的各应用商店也近百万的下载。我们通过研究发现该应用具备极高的威胁:申请大量无关权限,上传用户设备信息并明文传输;利用热加载与代码混淆的方式规避静态扫描;恶意刷量,发送大量网络请求,消耗设备资源。具体而言,该样本利用“保护视力”

监守自盗成常态?揭弊APP加固厂商盗取个人信息 (8月23日更新)

监守自盗成常态?揭弊APP加固厂商盗取个人信息 (8月23日更新)

【编者按】 昨天(8月22日)本篇博客发布后不久,我们收到了文章提到的其中一家厂商的反馈,他们表示在其提供给APP开发者的《InfoBeat数据服务条款》第6.1.4条中已有如下声明: “可以通过本公司提供给您的软件、插件或其他工具收集并存储的数据包括但不限于:SDK 或 API 版本,平台,时间戳,应用标识符,应用程序版本,应用分发渠道,开放性独立设备标识符 (Open UDID),iOS 广告标示符(IDFA),网卡(MAC) 地址,国际移动设备标示码 (IMEI),设备型号,