# Android敲诈病毒分析

Author: 乌云历史资料库 (@wooyun_archive)
Published: 2015-03-13T08:40:00Z
Canonical: https://wepostx.com/topics/747

> 乌云历史资料归档
>
> **原始作者：** 腾讯电脑管家
> **原始编号：** superkieran-wooyundrops:501
> **原始发布时间：** 2015-03-13 16:40
> **声明：内容仅用于技术研究和个人使用，版权归 wooyun.org。**

---

# 0x00 前言

最近哈勃文件系统捕获一批FBI敲诈病毒及其变种，该类病毒通过色情网址诱导用户下载安装，一旦用户安装运行，病毒会强制置顶自身并显示恐吓信息，对用户进行敲诈勒索。

# 0x01 传播途径

通过色情网址诱导用户下载安装。
程序安装后的图标：

![原文图片](/media/2016/06/4bf6cdd7978900e2778a2beb86280dfc)

# 0x02 恶意行为概述

当访问色情网址时，会诱导用户下载安装该恶意样本。一旦安装，duang~，不幸发现自己中了大招，手机变砖头了。
恶意病毒将强制将自身置顶，无论是按HOME键，还是关机重启，完全不管用，敲诈恐吓信息始终在那里：显示虚假恐吓信息，敲诈用户支付$500金额的MonkeyPak。

![原文图片](/media/2016/06/3d4021cccfd69d27526dd59d0dc39297)

![原文图片](/media/2016/06/b42e12dfc1a5c25a2eb08215ac80b71b)

病毒的恶意行为：

### 1. 样本首先会添加设备管理器：

![原文图片](/media/2016/06/4ee627e2ef2aa82df9c890beb0ff8997)

## 2. 强制将自身置顶：

![原文图片](/media/2016/06/957420676cbc10b70fa23e1e2d7fde4e)

![原文图片](/media/2016/06/4d94a1d61df3f52a4b452cc313a43e40)

### 3. 打开前置摄像头并拍照、获取添加账户的邮箱列表及手机硬件信息：

![原文图片](/media/2016/06/3038af55310bdd83bc3e3d6f36d8c899)

![原文图片](/media/2016/06/7bc2d3d34b10afc7133034395d324802)

### 4. 将第三步获取的信息、相关命令字以及输入的MoneyPak号等信息加密后上传到服务器：

![原文图片](/media/2016/06/d3348ddc3adab6f996b2dbc6cac1551b)

### 5. 分析样本文件发现，恶意应用的制作者在验证MoneyPak可用时，会将服务器的返回信息中的status项的值置为77并保存在配置文件里，远程控制病毒程序退出：

![原文图片](/media/2016/06/0984b7a5bb5dcd3dd97d0762cca155d5)

由以上分析可知，一旦中了该病毒，用户就没有机会进入手机，更无法启动杀软来清除、修复。那这个时候，手机变砖了吗？当然不是。哈勃分析系统发现这个病毒之后，决定第一时间要为用户解决这个难题，用最快的时间来出（jia）专（te）杀（ji）。 用户可以在http://habo.qq.com/Download/FBIVirusKiller下载FBI敲诈病毒专杀工具，按照工具的指引即可快速清除病毒。

![原文图片](/media/2016/06/67d990bc5636514844fc3d173f4f4b14)

使用专杀工具的前提是手机开启了“USB调试”（有人会担心手机没有ROOT怎么办，这里特别强调一下，未ROOT的手机也可以完美解决）。 如果不满足专杀工具的使用条件，可以尝试采用如下步骤手动清除：

### 1. 关闭手机后，重新启动进入安全模式

主流安卓手机进入安全模式的方式是，按住【电源键】开机，直到屏幕上出现品牌LOGO或运营商画面后，按住【音量减少】键不放。如果进入安全模式成功，锁屏界面的左下角会显示“安全模式”字样。

![原文图片](/media/2016/06/88b4315fdc92b27923578a4173c8cd5a)

### 2. 进入设置-安全-设备管理器，找到病毒程序并取消激活

![原文图片](/media/2016/06/dff9f9a11d7dd5075c0d207bdac01058)

![原文图片](/media/2016/06/c79b7b489a14164180421256dc60bf90)

### 3. 进入设置-应用或应用程序，找到病毒程序并卸载

![原文图片](/media/2016/06/4382e5a885cb1930de295527740c424c)

### 4. 重启手机，进入正常模式，发现病毒程序已经被卸载了。

# 0x03 给用户的安全建议

-
- 广大用户手机一定要安装安全软件，在病毒感染手机前就可以发现其危险，避免安装病毒后给您带来损失。目前腾讯电脑管家、手机管家、哈勃分析系统均能准确识别此类病毒；

-
- 在可靠的安卓市场上下载手机应用，不要安装论坛或朋友转发的手机应用；

-
- 不要下载内容不健康的手机应用，如色情播放器类应用。

## Replies