行业报告 | Android进程保护研究分析报告

发布时间：2018-09-29 11:13:52

# 前言

Google设计Android进程的设计是非常友好的，进程在不可见或者其他一些场景下APP要懂得主动释放，维护Android系统安全，然而低估恶意开发者“贪婪”，利用进程保护机制滋生很多流氓应用，破坏系统文件，资费受损，隐私泄露，推送恶意广告，导致设备资源浪费，破坏系统生态平衡。
<ul><li>安卓系统越难获取Root的背景下，无需Root进程保护成黑产攻击目标，恶意开发人寻找其他方式攻击，利用双进程保护，新增系统接口等。</li><li>恶意利用保活功能的风险软件前三，流氓广告，恶意扣费和风险软件，分别占比66%，18%和16%</li><li>基于用户需求及采用社会工程学原理进行攻击，攻击方式可分为，应用层，系统开放接口，二进制。</li></ul>

应用进程保护滥用主要场景如下： 
(1)&nbsp;寻找设备漏洞获取Root，释放恶意进程保护文件。 
(2)&nbsp;利用双管道互相监听，保证双向监听进程是否存活。 
(3)&nbsp;调用系统新增接口。

#第一章 Android进程保活介绍

## 1.1 Android进程保活

Android进程常驻，顾名思义，就是要让应用的进程在内存中长期存在,在内存紧张的情况下，会将一些进程kill，释放一部分内存，希望能及时收到消息的APP，需要保持进程持续活跃，那么就需要实施一些保活措施来保证进程能够持续存活，即 Android进程保活。

##1.2 应用保活常用技术

&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/15381905905d86f48b1b93c48e5452b8d706b8733f8c3ea8b0.png" alt="">

##1.3进程保活方案介绍&nbsp;

###1.3.1应用层

所谓的常规实用方案就是通过本身机制进行保活，应用层api接口,控制Service组件onStartCommand函数返回值。 
<img src="http://pgicons.cn-bj.ufileos.com/img_open/153819059314d235b89b7f2fefbf7d79b242428ffc35219074.png" alt=""> 
通过Service生命周期接口中，前台服务或重启，在所有能触发onCreate,onDestory的情况下都有效 
&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190594ee90915ad22ad3cd16c62b634c99118faad9df4e.png" alt=""> 
&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/15381905956f668f6d467b0bb0d65ee2f75544394b0134c5d6.png" alt=""> 
控制触发条件(蓝牙状态，网络变化，WiFi状态，屏幕亮灭，锁屏解屏,应用安装与卸载) 
&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190596de9471916c4ce424e17982634f12b03699d6e6b1.png" alt="">

###1.3.2 系统框架

通过构造Intent方式拉起恶意服务，这里贴一段某sdk推送的接受代码，自定义消息中重启Service服务。 
&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/15381905975127503f05a047b41ffc9cbf82ead7d173c96474.png" alt=""> 
 
植入恶意sdk插件方式，xx.sdk中应用在恶意应用植入成功后，恶意代码包通过start Service的方式拉起恶意应用的服务，长期隐藏在用户手机中。 
&nbsp; &nbsp;<img src="http://pgicons.cn-bj.ufileos.com/img_open/153819059901a5620ef485291164cb34da8a5156ae1ecf8956.png" alt=""> 
 
系统开放API 接口，JobScheduler机制唤醒，（系统给5.x以上）接口，系统根据实现定时调用接口传递的进程去实现保活操作，若强制停止后依然可以正常的启动。 
&nbsp;&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/153819060063718d644fbc48ddcd9841605fa604716f8c3526.png" alt="">

###1.3.3本地二进制文件

这里列举经常在病毒中使用的Daemon二进制文件，保活方案(系统5.0以下） 
原理：fork出子进程之后，让子进程成为新的孵化进程，并与其父进的会话组和进程组脱离，紧接着就是在子进程中定时去启动java层配置任务，自定义服务处于保活状态，长期在后台运行。 
执行流程图如下： 
&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906015584188cf26b38ee40152a7a1fb7e70c3b34b1e5.png" alt=""> 
部分代码片段，二进制文件执行命令行，am startService--user,应用层java配置任务 
&nbsp;&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906036777f4a510c7c0cc83a25f8090b4b6e0b26267c5.png" alt="">

##1.4 进程保护技术运用&nbsp;

#第二章 进程保护病毒占比与案例

##恶意利用进程保活分类占比

病毒利用保活技术前三,占比最高流氓广告66%，其次，恶意扣费和风险软件分别占比18%和16%。 
&nbsp;&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190606b16f388125a8cf1633e6d21262f41485f374076f.png" alt="">

##进程保活家族七大家族占比

1)满足触发条件(网络切换，连接USB)等方式前置进程，Movers,DisguisedAd,Bombard病毒家族占比最高分别占比30%，27%和16%。 
2)植入二进制文件保活方式，植入SH/ELF保活文件到系统目录方式守护恶意病毒进程,如叉叉SDK, Mobo病毒家族分别占比12%和1%。 
3)系统新增接口和双进程保护方式，RottenSys,Romdown病毒家族分别占比11%和3%。 
&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190608d14c070846e3a38715d75521c78f8e11a3523ec1.png" alt="">

##2.1 BanK提款机病毒

当宿主程序首次在运行时，通过解锁屏幕触发母包广播事件，从而加载子包并启动代理广播事件 
随后在子包中开启母包恶意服务，并触发子包的代理并执行推广下行为。诱骗用户安装病毒。 
技术点分析： 
满足触发条件（定时器，联网改变，屏幕解锁，apk安装和卸载）触发广告服务。 
<img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906105544a970b51b72c19c865574d67dc45c971ed437.png" alt=""> 
恶意扣费短信记录 
&nbsp;&nbsp;&nbsp; 
<img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190612adbe4e2886cae821e8c5dc4806604b03e7a2e644.png" alt=""> 
 ##2.2 MoBo病毒

病毒通过仿冒网速监控器，手机清理工具、和播放器等应用进行传播，一旦用户手机不慎被感染，该病毒将立即下载提权文件来获取root权限，频繁推送广告通知激活恶意服务，监控短信，私发大量短信，注入大量恶意文件到手机系统用于守护病毒，私自下其他他软件 
技术点分析： 
ELF文件/system/xbin/.pr.io注入恶意文件至手机系统中 
&nbsp;&nbsp;<img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906142675c0fbf877684b07adb1a872076eb02c384289.png" alt=""> 
 
用于唤醒病毒主模块进程，并私自下载安装其他软件 
&nbsp;&nbsp;&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190615c0c7954e4b41b772329d24da59127d5a70766e64.png" alt="">

##2.3 RottenSys 病毒

此病毒软件恶意操作,保活推送子包并加载，获取root并执行插件,私自下载恶意广告插件,推送广告,并动态加载本地子包获取root权限,执行ELF脚本,伪装插件与服务器交互，长期驻内存保活并执行恶意操作。 
技术点分析： 
执行开源框架MarsDaemon来对自身服务进行长期保活 
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190616e8d8e93a93c300b9a877ba2d5635a7977fcd9c33.png" alt=""> 
窃取用户信息 
&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906178891f4511b694259095783bc5b755ec45265e6ca.png" alt="">

##2.4 Magiclamp病毒

该通常将自己伪装成一些破解游戏和工具类软件通过主流的应用市场和部分软件下载站进行传播,用户一旦中招以后将通过云端下发子包保活，强迫用户安装应用,云端下发配置,通过配置参数发送服务器，下载保活子包，执行恶意操作。 
技术点分析： 
云端下载恶意子包服务 
&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/153819061918013a5e29502587ba83e342a8508d653d91f8fe.png" alt=""> 
弹出广告弹框并诱导用户安装,弹出广告骚扰用户 
<img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906258d775f5dcc7007ca062fbd68d8d31ecdeff22e29.png" alt="">

##2.5 DisguisedAd病毒

恶意程序名Security Defender，SecurityKeeper，Smart Security，Advanced Boost等名称&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 安全工具,扫描，清理垃圾节省电池，冷却CPU，解锁设备屏幕启动恶意服务，消息推送，WiFi存在&nbsp;&nbsp;&nbsp;&nbsp; 安全风险，存在风险提示。 
技术点分析： 
隐藏在应用列表名称 
<img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906262bdcb9528485af950511a7d8fd8a744115b0f281.png" alt=""> 
恶意程序隐藏功能设计不在指定机型运行 
&nbsp; &nbsp;<img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906277de4fdb6ea1418202e1c4b1a827859141a5fe07d.png" alt=""> 
使用过程中弹窗”Your apps apps may be snooped”之类的虚假通知，提示某种操作。&nbsp;&nbsp;&nbsp;&nbsp; 
&nbsp;&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190629ddc6cd3affd9a2275e9d727bdb987936ea85c17b.png" alt="">

##2.6叉叉SKD病毒

SDK“后门”,云端动态更新下发恶意代码包，Root用户手机，植入恶意脚步文件/ELF文件到系统目录长期隐藏在设备中，拉起恶意服务推送广告行为和应用。 
执行脚本，其作用是将恶意应用copy到系统ROM内。 
技术点分析： 
一阶段，执行恶意脚本文价，其作用是将恶意应用copy到系统Rom隐藏设备中 
&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906306c6cf3554476d64614cb1c2fc2b425e1dc15ff8e.png" alt=""> 
二阶段，在恶意应用植入成功后，恶意代码包通过startService的方式拉起恶意服务执行操作。 
&nbsp;&nbsp;<img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190632fb00bffc293b2a06c2e18bfa11967c90fe4fcbb2.png" alt="">

##2.7 Romdown病毒

利用高版本系统(5.0以上)开放接口(jobscheduler)唤醒机制及插件化隐秘执行技术,其伪造成正常内存清理软件,运行后隐藏图标,隐藏后台工作,下载执行恶意插件，执行上传用户信息,对设备信息造成极大安全威胁。 
技术点分析： 
通过接受广播(蓝牙状态，网络切换，WiFi状态)等启动服务 
&nbsp;<img src="http://pgicons.cn-bj.ufileos.com/img_open/1538190633f71dd094e28fb5be4eaed6a7fc2402d013a50737.png" alt=""> 
系统5.0以上，使用jobSchedule新增系统接口，实现进程拉活 
<img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906349e8e0bad7cac13a4b32c5ae1f5c1ee03c97ff9b5.png" alt=""> 
#第三章 黑产利用趋势与厂商防御

<img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906355251f17ca56ed07392458934e712f1ccaf59a65e.png" alt=""> 
 
#第四章 安全建议及规范

恶意软件威胁隐私和财产安全带来的极大安全挑战，对手机用户隐私，财产等骚扰造成严重，如何有效的防范恶意软件的危害显得尤为重要，为应对未来严峻的安全挑战，腾讯安全已推出自研AI反病毒引擎腾讯TRP引擎通过对系统层的敏感行为进行监控，配合能力成熟的AI技术对应用行为的深度学习，能有效识别带有恶意风险行为软件，并实时阻断恶意行为，为用户提供更高智能的实时终端安全防护。 
&nbsp;&nbsp; <img src="http://pgicons.cn-bj.ufileos.com/img_open/15381906378446fbdfd52bb782bf76b68edaa00cb9fe54ee53.png" alt=""> 
针对恶意软件开发者，腾讯反诈骗实验室基于海量的样本APK数据、URL数据和手机号码黑库建立了神羊情报系统，可以根据恶意软件的恶意行为、传播URL和样本信息进行聚类分析，溯源追踪恶意软件背后的开发者，给于精确打击，保护广大用户免受恶意软件危害。为尽可能避免恶意软件的危害，我们也给用户提出了以下几条防护建议： 
（1）应该选用安全正规的App产品和服务，并选择正规应用商店下载安装。 
（2）在选择应用下载推荐时，尽量选择大型可信网站，请勿点击来历不明的链接下载软件。 
（3）养成良好使用习惯，不随意输入个人隐私信息，定期对设备系统进行安全检测和更新。 
（4）当手机使用中异常发热和运行卡顿时，应及时使用腾讯手机管家进行扫描检测。

原文 / From https://m.qq.com/security_lab/news_detail_482.html