你看到的APP排行不一定是真的 揭秘手机软件恶意刷榜推广

随着移动端应用市场数量爆炸式增长，app推广和曝光率也越来越难。哪里有需求哪里就有生财之道，自然，app刷榜也就形成了一条产业链，它能够在短期内大幅提高下载量和用户量，进而提高应用的曝光率。当你打开应用市场想要下载一个功能性的app，搜索结果出来后是不是都要看一下旁边的下载量？有时候还会看一下用户评论，那么，下载量大的就是好的吗？真的大家都在下吗？今天为你揭秘一个app捆绑病毒木马利用你的手机恶意刷榜的案例，揭秘这个行业不为人知的一面。

近期，阿里移动安全发现一款名叫“魔百wi-fi”应用，该应用官方的一个版本捆绑了多个病毒，目的是对googleplay 商店应用刷榜和刷大量未知应用安装量。

该病毒在该设备锁屏时对设备root，root成功后向系统目录植入“刷榜僵尸”病毒，“刷榜僵尸”对指定应用在 googleplay商店上恶意刷量,同时还会诱骗用户安装“下载者”病毒，“下载者”病毒会在设备屏幕亮起状态会弹出广告页面，若用户触碰广告页面推广的应用将会自动安装运行。该病毒技术相当成熟，root 提权使用最高广的漏洞（cve-2014-3153 toawelroot、cve-2015-3636 pingpong和putuser 等），2015年10月之前的设备全部受影响。我们对恶意应用的证书对比，惊人的发现并非被重打包！

“魔百wi-fi”在2015年末首次发布，向用户打着安全wi-fi 旗号，短短半年用户安装量已高达300万。我们发现它具备专业的应用推广团队，目前已在国内知名渠道发布多篇宣传文章，并与国内多家应用商店合作，下图是”魔百wifi” 前不久的一篇文章，文中还提到“截至目前,魔百wifi拥有超过2亿的国内外热点，已覆盖商场、酒店，热点全线接入”。

“魔百wifi”目前最新版本为2.3.18。根据应用证书md5(5919ee638614c467152ab4d07c9cc2dc) 排查，发现版本2.3.5～2.3.10被官方插入了恶意代码。值得注意的是，官方发布的2.3.8 版本打了两个不同的包，一个增加root提权向系统目录植入“刷榜僵尸”，另外一个包和2.3.10版本应用都捆绑了“下载者”病毒。捆绑了“刷榜僵尸”和“下载者”的“魔百 wifi”，利用自身的用户量对应用刷榜和安装，进而非法牟利。以下是对“魔百wi-fi”2.3.8带 root包的应用分析。

一、主包分析：

该病毒捆绑了多个子包，以下是各个模块关系图：

1. 解密assets目录下sdk.data、__image 数据，解密后sdk.data是一个目录，目录下包括mainjson.txt、dexhostinjection.jar 、libdaemonprocess.so, __image是apk文件；

2. 唤起pushdexservice、pushjobservice完成dexhostinjection.jar 加载，以及执行dexhostinjection.jar的com.hostinjectiondex.external.externalinterfaces类的startexternalbody 方法，子包下载“下载者”病毒update，并诱导用户安装。

3. 开启后台服务利用libgodlikelib.so进行root提权，提权成功将libgodlikelib.so 提权工具库写入系统库文件；__image解密的apk文件植入系统目录，取名androiddaemonframe.apk 即是“刷榜僵尸”病毒；

二、root提权

该样本是基于开源的run_root_shell 改写而成，可以对2015年10月份之前的全部设备root ，主要利用了以下漏洞进行提权：

(1) cve-2012-4220

影响设备：android2.3～4.2

使用的qualcomminnovation center(quic)diagnostics内核模式驱动程序diagchar_core.c在实现上存在整数溢出漏洞 ,通过向diagchar_ioctl内传递特制的输入,远程攻击者可利用此漏洞执行任意代码或造成拒绝服务。

(2) /dev/graphics/fb0

fb0设备mmap漏洞（触发参数fbioget_fscreeninfo）

(3) /dev/hdcp

hdcp设备mmap漏洞

(4) cve-2013-6282

影响版本：linux kernel3.2.1、linux kernel3.2.2、linux kernel3.2.13

linux kernel对arm上的get_user/put_user缺少访问权限检查，本地攻击者可利用此漏洞读写内核内存，获取权限提升。

(5) /dev/msm_acdb

高通设备漏洞

(6) cve-2013-2595

/dev/msm_camera/config0高通设备mmap漏洞。

(7) cve-2013-2094

影响版本：linux kernel3.8.9之前开启了perf_event的设备

利用该漏洞，通过perf_event_open系统调用，本地用户可以获得系统的最高权限。

(8) cve-2015-3636

影响设备：2015年9月份之前的设备

pingpong该漏洞是linux kernel的ping套接字上存在的一个use-after-free 漏洞。

(9) cve-2014-3153

影响设备：2014年6月以前的设备

漏洞利用了futex_requeue、futex_lock_pi、futex_wait_requeue_pi 三个函数存在的relock漏洞和requeue漏洞,造成了对内核栈上的数据修改。

对设备成功提权后，会将解密的__image植入/system/priv-app目录并命名为androiddaemonframe.apk ，将libgodlikelib.so提权工具库植入/system/lib目录。下图提权并向系统目录植入恶意文件。

三、androiddaemonframe.apk“刷榜僵尸”分析

androiddaemonframe应用是主包解密后植入到系统目录的应用，该应用是一款转用于恶意刷榜的病毒，利用用户设备账户信息作为刷榜僵尸，完成对c&c控制端指定应用的恶意刷榜。“刷榜僵尸”工作流程如下：

1.“刷榜僵尸”c&c控制端配置keywords和package_name。

2.“刷榜僵尸”向googleplay发起认证，通过获取的设备googleplay账号和密码，或authtoken。

3. 模拟googleplay协议对目标应用搜索、浏览和下载。

刷榜僵尸病毒在设备启动、屏幕解锁和网络改变触发bootreceiver组件执行，随后启动核心服务dispatcherservice，该服务创建updatetask和googleplaytask定时任务。

定时任务googleplaytask

googleplaytask每3小时执行一次，对配置文件里的keywords 和package_name指定的应用从googleplay爬取。下图root提权重定向设备账户文件。

病毒通过googleplay验证有两种方式，一使用authtoken ，全称authentication token，有了它病毒无须每次操作都向google服务器发送密码,  执行语句：sql.rawquery(“select type,authtoken from authtokens where type like \’com.android.vending%\’ and accounts_id=”+ accounts_id, null)；二是获取 google账户name、password 和_id值。执行语句：sql.rawquery(“select * from accounts where type = ?”, new string []{“com.google”}) 。如下图。

成功与google play服务器连接后，通过配置文件提供的keywords和package_name完成应用搜索、浏览和下载

当前配置文件如下图，发现病毒正在对package_name是com.felink.shine的应用刷量。

病毒完全模拟google play下载协议，包括设置cookie(androidid + authtoken)、user-agent(androiddownloadmanager)等，googleplay应用下载请求流程大致如下图（https://github.com/egirault/googleplay-api/issues/30 github已屏蔽，但我想既然你看到这里，应该知道怎么打开）：

“刷榜僵尸”病毒的googleplayrequester工具类模拟了以上过程，实现google play商店应用下载。

四、子包dexhostinjection.jar

子包dexhostinjection.jar由assets目录下sdk_data文件解密得到，完成了以下几个功能：

4.1 服务保活

解析主包传递的000(m_pkgname)、001(m_class_name)、002(m_sdk_data)、003(libdaemonprocess)、004(1.apk)参数，利用libdaemonprocess库服务保活，在底层执行am startservice启动主包传递的service,也就是主包中的com.hostinjectionmain.control.dexservice。如下图。

4.2 下载“下载者”病毒

主包004参数传递的应用名，并拷贝到设备sdcard/database目录命名为5supdate.apk，同时配置“下载者”病毒相关文件，存放目录在sdcard/database目录下。包括actiondown记录包名以及启动服务名、actionsuk应用最近一次运行时间、install.ab服务器推广应用安装情况、mychannel应用渠道，这些文件数据全部都aes加密存放。actiondown记录下载者病毒包名以及入口服务。

actiondown:{“downloadpackagename”:”com.android.ucgmap”,”downloadversionkey”:1,”downloadstartmethod”:”com.android.ucgmap\/com.android.ucgmap.aimservice”}

4.3 诱骗用户安装，并启动“下载者”病毒

子包动态注册监听android.intent.action.package_added、android.intent.action.user_present消息广播。处理包安装完毕消息，若此次安装包名是actiondown里downloadpackagename字段记录的“下载者”病毒，读取downloadstartmethod字段启动“下载者”。

使用两种策略诱骗用户安装“下载者”病毒(其应用名为update)，一默认模式以应用更新诱骗用户点击安装；二由服务器设置，弹出系统更新诱骗用户点击安装。

4.4 子包自更新

子包的连接并不是直接暴露的，而是做了两层跳板。配置下一跳转访问地址http://dispatch.smartchoiceads.com/v2.1/2000，参数设备aid、imsi、gaid、mac(wifi)，request和response数据全部aes加密。服务端会根据上传的设备信息返回次设备对应的url地址，随后设备会使用该地址下载服务端推广的应用。 下图访问url_1(http://dispatch.smartchoiceads.com/v2.1/2000)返回加密的数据，经aes解密提取data值获取当前设备的对应访问的服务器地址url_2。

解密后的数据为：{“upstream”:”http:\/\/sdk.smartchoiceads.com”}，这样获取了下一跳板的地址。 访问跳板地址，下载、加载和运行最新版子包。 访问服务器配置的url_2，服务器同样返回aes加密数据，解密后的数据如下：

{“solib_name”:”libdaemonprocess.so”,”download_url”:”http:\/\/u.smartchoiceads.com\/sdk\/hostdex_20160623163035.jar”,”classname”:“com.hostinjectiondex.external.externalinterfaces”,”filename”: “dexhostinjection.jar”,”start_method”:“startexternalbody”,”solib_url”:”http:\/\/u.smartchoiceads.com\/sdk\/libdaemonprocess_20160520175142.so”,”stop_method”:“stopexternalbody”,”request_interval”:”1800′,”version”:”8′}。

根据解密获取的字段，下载新版本的dexhostinjection.jar包，以及lib库，目前服务器最新版本dexhostinjection_8.jar。子包通过向主包的dexservice发送com.injection.action.reload_dex消息意图，完成子包更新加载。

五、“下载者”分析

子包dexhostinject.jar下载的5supdate.apk存放位置在sdcard/database目录下，既是“下载者”病毒安装包，通过应用更新或系统更新诱骗用户安装，安装后dexhostinject.jar启动“下载者”导出服务aimservice。“下载者”病毒工作流程图如下：

5.1 chatactivity组件，强制激活设备管理

dexhostinject.jar启动应用的参数会唤起chatactivity组件运行。chatactivity进行设备管理激活，一旦用户激活设备管理，应用将很难被卸载。用户在取消截获设备管理时，adminreciver会进行锁屏操作并跳转到桌面。

5.2 组件aimservice

1. 加载target.jar子包，保护“下载者”核心服务aimservice不死

2. 启动apsservice，组件apsservice是云端推送服务，注册时钟广播每10分钟发送广播转交给apsadreceiver处理

3. onstartcommand处理消息意图，包括：

    a）com.injection.action.reload_dex，更新target.jar子包；

    b）com.injection.action.stopjobservice，停止jobscheduler并进程自杀；

    c）-a com.android.startadmin –es isadmin true，唤起chatactivity组件，进行激活设备管理。该意图消息是dexhostinject.jar发送给aimservice的。

5.3“下载者”应用推送分析

应用下载、安装和启动由apsservice和apsadreceiver联合完成。当update 应用处于后台运行，并且屏幕处于亮起状态，“下载者”向c&c服务器发起请求，下图访问c&c控制。

“下载者”病毒会每隔10分钟访问http://www.gamecpi.com/tapcash/com.android.ucgmap/control.json，返回数据结构如下。

该数据结构信息是当前推广应用的信息，随后通过消息handler转交给startadwork函数处理。

每隔120分钟请求控制端下载推广应用，http://www.gamescpa.com/sdkmanager/cpa/downloadlink.php?country=cn&packagename=com.android.ucgmapc&c，控制端返回推送的应用信息，包括packgae(应用包名)、url(应用下载链接)、size(应用大小)，返回数据转交给消息handler处理，进行应用下载安装。

再配合之前注册的时钟广播apsadreceiver，完美完成推广应用启动。

六、 病毒sha1:

01b3e575791642278b7decf70f5783ecd638564d

5900fabbe36e71933b3c739ec62ba89ac15f5453

7ebdd80761813da708bad3325b098dac9fa6e4f5

ea781498268ced8dbb892d02aeaad23f4b87a510

44e81be6f7242be77582671d6a11de7e33d19aca

34b7b38ce1ccdd899ae14b15dd83241584cee32b

74a55e9ea67d5baf90c1ad231e02f6183195e564

4e5af777fe28f450a670e789b23fb3669dc6e6b6

d59f97297de38db7f85349c9486413e914ff35b5

b219db613284a3dd0e87edea67da744be59e7732

9b9109ecfa38d9664084a513392ffc3f41349f02

2b1da376212e63cb25a19900642c4bbca6e49c01

18d9546193a354aec0c76d141dd66fbf99181bad

63c20ee3c1e1b39921d2b3d86aade39de738ea9b

5d2a08d7c1f665ea3affa7f9607601ffae387e8b

70105591ea9f2b42534062278f31dbf9788575b3

34b7b38ce1ccdd899ae14b15dd83241584cee32b

78e9c7e0510b0c28abf28dd46910ab14c56ab4df

88745ecb3114fc0539ca05db388e1c77d3e76109

885fe0dca39d0fe281aad78cbce2fb73f27f3aea

50bdc0195ed3c6f9909e62d4926f26d312cc39fa


{

"isopened":true,

"isopenhidenativead":true,

"fid":"",

"fnid":"558734714274962_641985812616518",

"aid":"ca-app-pub-2499265864844132/2514086206",

"bnid":660078,

"solaid":5011,

"soltid":1000171,

"ad_interval":10,

"no_ad_start":0,

"no_ad_end":6

}

七、总结

该病毒应用通过版本更新，进行恶意版本下发，在完成“刷榜僵尸”和“下载者”病毒后又利用版本更新替换成线上安全版本，如此在各大应用市场上期存活。阿里移动安全建议，用户下载此类app请认准大厂商品牌应用;谨慎点击软件内的推送广告；来源不明的应用不要随意点击；请定期使用阿里钱盾等手机安全软件查杀病毒。

 

这个版本不知道是否含有以上说的刷榜病毒，但是如果不点击广告，应该没什么问题，就等它自己更新成安全版本也不错。需要的可以试试。