Lead: Le logiciel malveillant inclus « .root_sh » la présence de commentaires chinois dans le fichier de script, il est vraiment le peuple chinois le faire? Non! ! Il y a des meurtriers.
Auteur: Lei Feng chroniqueur de sécurité réseau net, Li Qin
Nous savons seulement que l'amour pirate Kaspersky nommé la Corée du Nord, par exemple, que la dernière vague de virus d'extorsion connue dans le monde entier, il va se lever et dire:
Derrière ou de la Corée du Nord!
Manger des masses de melon ont vu le pirate nord-coréen nommé, a commencé à tisser d'innombrables versions de l'histoire et devinez qui mettent l'accent sur le mot « ou ».
« Ou » il est susceptible d'avoir, ne peut pas être.
Cette « injustifiée » Il n'y a pas de « pot » empirique mais a dû tuer des personnages historiques célèbres.
Cependant, pour certaines personnes, aussi longtemps que la Chine n'est pas nommé, a déclaré aucune ligne un.
Cependant, le 8 Juin Kaspersky a publié un rapport intitulé « Dvmap: le premier malware Android avec injection de code » ( « Dvmap: la première avec la possibilité de coder inject que les logiciels malveillants Android ») Le rapport indique que, Kaspersky échantillons de logiciels malveillants analysés type d'exécution de la plate-forme Android injection de code malveillant, Ensuite, il est mentionné dans le rapport, les commentaires chinois « .root_sh » fichier de script qui contenait un logiciel malveillant.
Est vague à dire: il y a autant de commentaires de fichiers de script chinois, oh, qui le fait?
Assis à la maison, le pot du ciel.
Peut-être conscient de cela, les chercheurs de sécurité chinoises se sont précipités pour effectuer une analyse en profondeur.
Lei canal de découverte réseau Feng édition guest house, « Un jour en mouvement sécurité » 9 Juin a publié un « sur » Dvmap « analyse Android Malware rapport », quels échantillons ont été analysés.
Confondre: « criminels » se cachent en temps réel
Tout d'abord, nous allons voir, ce malware Android à la fin peut faire.
Cette renommée de camouflage com.colourblock.flood.apk comme jeu de puzzle "Colourblock", publier télécharger sur Google Play.
Comme il est inoffensif pour les humains et les animaux, il ne sera certainement pas vous laisser « Eye » voyez est en fait un petit diable.
Toutefois, ce logiciel malveillant sera basé sur la version du système implant terminal, type de cpu et d'autres informations, son fichier malveillant décrypter embarqué « Game * .res ». Oh da, mais aussi en fonction de l'adaptation de téléphone de celui-ci!
Finalement, après la sortie du fichier d'analyse de fichier malveillant commence « griffes » en essayant de passer le temps déguisé en un programme de haut le service, son rôle principal est de communication du serveur et de contrôle à distance et effectuer des tâches de contrôle à distance.
C'est, télécommande votre téléphone!
Ensuite, vous devez demander: Quand je mange du riz cuit Otani chanson est-il? Pourquoi ne pas détecté?
Ce malware est particulièrement délicate parce que, dans la bataille offensive et défensive devrait être la racine du bâton d'huile.
Ce Colourblock de logiciels malveillants à la fin Mars partir, Sur l'utilisation de télécharger le logiciel alternatif le même jour avec une version malveillante était la version inoffensive de la méthode, afin de contourner la manière de Google Play ses contrôles de sécurité Et a utilisé le marché Google Play pour la distribution. Au moyen de cette méthode également télécharger plusieurs versions de son logiciel malveillant et le chiffrement de sa charge utile malveillante, jusqu'à la fin de Mars jusqu'à ce que le prochain rapport cadre Kaspersky Labs, le logiciel malveillant a été téléchargé plus de 50.000 fois accumulés.
Le personnel de sécurité ont également constaté que l'analyse Ce développeurs de code malveillant ont une certaine capacité anti-reconnaissance pour se protéger contre la mise en uvre malicieuse exemple de certaines mesures de protection, telles que le temps de génération de apk cachette, Modifier l'heure locale du système en générant apk, conduisant à décompresser le fichier apk pour obtenir le temps de la génération 1979.
C'est comme cacher les vrais criminels ont commis des crimes dans la police à résoudre l'affaire.
Cependant, la défense de l'ancien pilote n'est pas un végétarien, ils par des moyens, creuser le temps réel de la production des logiciels malveillants est de 18 Avril, 2017, fournissant ainsi la base nécessaire pour les données réelles ultérieures « pour résoudre le cas. »
Kaspersky estime qu'il existe des éléments chinois, mais la vérité est ......
Première pause pour résoudre le cas, pourquoi Kaspersky et penser à la Chine?
Il est avéré que tous les informations apparaissent « kinguser.apk » dans plusieurs fichiers bin échantillons malveillants, l'échantillon peut être émis l'hypothèse que l'utilisation malveillante du programme exp développé par les outils de développement chinois pour kingroot mentionner le droit.
Cependant, la défense de l'ancien pilote après la découverte du temps réel de la production, le mystère a été résolu progressivement.
Preuve d'une
Le personnel de sécurité ont découvert les logiciels malveillants téléchargés sur Google Play à partir de la première fois à partir d'aujourd'hui, la station terminale 965 a été implanté avec succès des échantillons malveillants, la répartition du nombre de l'Indonésie et de l'Inde ont atteint 220 unités et 128 unités, représentant 22,79 respectivement % et 13,26%, au troisième rang au Canada, qui est implanté dans le nombre de terminaux sur le logiciel malveillant était seulement 48, le nombre de terminaux à des échantillons malveillants de la région Indonésie avec une prédominance dans la gamme statistique.
Preuve de deux
Les données d'échantillon sur la durée d'acquisition initiale de la charge utile des logiciels malveillants pour le 19 Avril position de l'implant du terminal en Allemagne, mais après analyse approfondie a révélé que l'environnement d'exploitation de l'échantillon pour Remix OS Pour simulateur Andrews PC, et la façon réelle connecté à Internet société allemande de sécurité Avira utiliser le serveur VPN, ont donc un suspect d'équipement de test de virus plus gros. Ainsi, la première borne de charge est situé terminal de données position antérieure implantée, une plus grande chance en Indonésie.
La troisième -
Il n'y a pas assez de preuves, dans le domaine de la sécurité ancienne « police » a également constaté que:
Selon la page d'information pour le cache malveillant échantillon Colourblock conservé du marché Google Play et d'autres sources de distribution du monde, obtenir la déclaration Retgumhoap Kanumep que le nom de l'auteur des logiciels malveillants, mais s'écraser à travers l'ensemble du réseau de recherche importante comparaison de données, n'existe pas au nom logiciel de réseau libérer toute autre information associée à ce nom.
En lisant les noms analyse Retgumhoap Kanumep, Il a trouvé son nom « Kanumep » lettres individuelles de droite à gauche dans l'ordre inverse par rapport Pemunak, à savoir « Logiciel » indonésien.
preuve quatre
Word est réalisée « Retgumhoap » à son nom « Retgumhoap », depuis le préfixe « retg- » « retour (retour à) » sens, il tente de « umhoap » dans le sens antihoraire rotation alphabétique 180 degrés pour donner le mot « deoywn ". Le mot « deoywn » Recherche Web complète a trouvé qu'il y avait des robots programmés pour publier automatiquement des messages en utilisant la station de bkueunclpa@deoywn.com de boîte aux lettres dans un grand nombre de pages de babillard Internet:
[Source: sécurité mobile Ann-jour]
La langue pour identifier l'ID de boîte aux lettres « bkueunclpa », on apprend que le dialecte indonésien.
preuve de cinq
Il est prouvé que la charge d'exemples de pages malicieuses afin de renvoyer les interfaces de données situées dans le nuage Amazon, le nom de domaine de la page contient mots « d3pritf0m3bku5 », l'analyse, à savoir « de pritfomebkus », traduction identifier la langue avec Google, est toujours en Indonésie dialecte.
Ainsi, il semble bien que la vérité!
Selon le personnel de sécurité pour déterminer:
Vue préliminaire que les commentaires de code chinois dans le rapport d'analyse de Kaspersky problème d'origine mentionné spécifiquement, mais les auteurs de logiciels malveillants devraient être utilisés directement Kingroot développeurs de script chinois à écrire, au lieu de générer un contact direct significatif avec les développeurs de logiciels malveillants chinois.
La langue dispose d'informations échantillons malveillants et développeur de juger, le logiciel malveillant a une relation directe avec la probabilité d'un grand développeur indonésien; De plus, parce que le logiciel malveillant ne favorise pas les enregistrements du réseau dans tous les sites de réseautage social, que par l'application du marché la distribution, et donc son comportement de promotion et de distribution rapide, le plus proche grande chance par d'autres moyens dans le cadre de leur propre réseau social par un des développeurs de logiciels malveillants, combinée à la répartition géographique du terminal mobile et le montant global du programme malveillant implanté au début de l'implantation la répartition géographique du terminal mobile peut être considéré comme l'Indonésie étaient plus susceptibles d'être le siège des développeurs de logiciels malveillants et les principales victimes de la zone de mise au point.
Regardez comme le sentiment dans l'industrie de la sécurité du réseau a organisé une bataille d'esprits criminels vieux d'Interpol et de la ruse drame, semblait analyser le personnel de sécurité, et voulait offrir ses genoux.
Note: Si vous voulez voir l'analyse technique plus détaillée, vous pouvez rechercher leur propre « rapport d'analyse des logiciels malveillants Android » sécurité « sur » Dvmap le jour du déménagement de sécurité, le document analyse les données pertinentes et les conclusions sont à titre de référence.
Lei Feng article original réseau, s'il vous plaît site web de réimpression pour demander le site officiel du réseau d'autorisation Lei Feng. Bienvenue discussion passionnée, la part de la transmission ~
