I. Résumé
Avril 2018, Tencent exposition de sécurité du « push parasite », a dévoilé le flux de production de noir, de sorte que le public comprenne que le noir est donné progressivement de se cacher derrière les coulisses, par le biais de camouflage SDK officiel, les développeurs touchent à travers la masse des utilisateurs, puis l'instruction dynamique émis par les logiciels publicitaires et de promotion d'applications, gagner les frais de publicité et de promotion, réalisation de bénéfices gris. Par pure coïncidence, récemment, en se fondant sur Tencent grande sécurité des données, laboratoire de sécurité anti-fraude Tencent suivi STORM, gérer tous les jours, la tour lire la littérature dans une variété d'applications SDK intégré il y a un sous-package téléchargement script js malveillants, sans perçue par l'utilisateur WebView brosse Baidu publicité dans le cas des actions malveillantes.
Le SDK malveillant par l'application formelle de nombreux développeurs d'applications ont mis au point, chaque application via des canaux de distribution Retouches dix millions d'utilisateurs, derrière noire produite par la porte arrière gauche par le contrôle du SDK malveillant de millions d'utilisateurs, le montant hairbrush sous la dynamique code, brosse un grand nombre d'impressions d'annonces et de clics, gagner beaucoup de frais de publicité pour les annonceurs a causé une énorme quantité de pertes publicitaires.
Selon une analyse détaillée du personnel de sécurité, le SDK malveillant principalement dans les caractéristiques suivantes:
1. Le SDK est 1000 + un millier de développeurs d'applications, les développeurs d'applications à travers le canal de distribution arrivent utilisateur. Les applications couvertes comprennent principalement par les maisons de palmiers, STORM, gérer tous les jours, la littérature de lecture de la tour, l'impact potentiel sur des millions d'utilisateurs;
2. package quantique Brush par téléchargement et les temps de chargement, et d'obtenir la quantité de tâches de pinceau à partir du serveur, en utilisant WebView aux scripts de charge mis en uvre dans le cas où l'utilisateur ne perçoit pas la quantité de brossage tâches automatisables.
Ce trafic production noire à la publicité traditionnelle a apporté de grands défis anti-triche, les stratégies anti-triche de la représentation traditionnelle des données par IP, la fréquence d'exposition, taux de clics de la formation d'un tel contrôle est difficile d'identifier un grand nombre de dispositifs réels faire « poulet » quantité de brosse la tricherie, ce qui rend un grand frais de publicité dans les mains de la production noire, mais ne peut pas apporter l'effet propre de la publicité pour les annonceurs.
Deux processus de mauvais SDK et l'influence
Ce SDK malveillant intégré dans cette partie du code dans l'application ne fournit pas la fonctionnalité réelle, qui fera rapport régulièrement des informations liées au dispositif est appelé, obtenir le sous-package dynamique de lien de téléchargement, téléchargement de paquet et charger les appels enfants. Ensuite, le package enfant exécute le comportement malveillant correspondant.
Schéma Malicious de flux SDK du mal:
La liste principale de l'application du SDK malveillant affecté:
Troisièmement, le mal procéder à une analyse détaillée du SDK malveillant
Ce SDK malveillant est un grand nombre de développeurs d'applications petites et moyennes entreprises à intégrer, nous devons appliquer la lecture de la tour la littérature comme un exemple, une analyse détaillée de leur comportement malveillant.
SDK structure de code malveillant:
Ce code est moins sdk, aucune fonction réelle. Ce qui est chargé après avoir été invoqué, le réglage de la tâche timer toutes les 3600 secondes (1 heure) Démarrer GatherService, signaler les informations de l'appareil, l'acquisition de sous-paquet lien de téléchargement de __gather_impl.jar dynamique.
GatherService lié au serveur pour obtenir le lien de téléchargement __gather_impl.jar.
Demande lien: http: //gather.andr****.com: 5080 / gupdate / v1.
Demande de données comprennent: uid, nom du package d'application, id appareil, la version de l'application, le fabricant de téléphone mobile, modèle, version du système, IMEI, version sdk et ainsi de suite.
Retourne le contenu: incluent la sous-package, télécharger url, fichier md5.
Chargement dynamique téléchargement __gather_impl.jar.
__Gather_impl.jar structure de code de sous-paquets, les paquets de sous-fonctions principales: 1, les informations d'ajout d'équipement utilisateur 2, et charger dynamiquement le téléchargement des paquets de sous-stat-impl.jar.
1) serveur lié, le téléchargement des informations de dispositif utilisateur
lien du serveur: http: //userdata.andr****.com/userdata/userdata.php (Cette URL n'est plus valide au moment de l'analyse, ne peut être liée).
rapport Contenu: y compris les informations de localisation (latitude et longitude), la liste des utilisateurs à installer (nom du logiciel, nom du paquet), des informations d'équipement (fabricant, modèle, empreintes digitales, que ce soit la racine), deviceid, numéro de téléphone, les opérateurs, IMEI, mac et ainsi de suite.
2) demande à nouveau le serveur, vous obtenez le lien de téléchargement de stat-impl.jar.
Demande lien: http: //iupd.andr****.com: 6880 / wupdate / v1.
Demande de données: y compris uid contenu, IMEI, version sdk, le fabricant de téléphone mobile, modèle, version du système, le nom du package d'application, id dispositif, jeu d'instructions de l'appareil.
Retourne le contenu: incluent la sous-package, télécharger url, fichier md5.
Une fois le téléchargement sous-ensembles complets, appelez la charge dynamique de la méthode native de ce sous-ensemble.
structure de code Stat-impl.jar:
Après paquet sous-stat impl.jar a été chargé, le fil com.drudge.rmt.g sera démarré, sa fonction principale est de se brosser la quantité de réseau pour obtenir des tâches et des tâches planifiées pour l'exécution.
Les tâches principales incluent la quantité de brosse: 1, Baidu brosse rechercher des mots-clés, et 2, en utilisant un script js cliquez sur automatiquement, diapositive pour brosser le montant de cent millions de Baidu annonces et les clics publicitaires, 3, en utilisant un accès Web WebView brosse.
1. Brush Baidu recherche
Cette tâche basée sur la chaîne JSON acquise, l'opération correspondante, y compris la mise en BAIDUID, mise à jour de configuration, ajouter des tâches, presse-papiers fournis et un mot-clé de recherche Baidu brosse.
Définir mot-clé, l'utilisation url correspondant charge WebView:
Baidu brosse Captured de demande de mot-clé: charge WebView
Lié au serveur http: //tw.andr****.com: 6080 / wtask / v1 tâches liées à l'acquisition, et le contenu de la tâche en / Cache / volley:
2. Utilisez le script de la publicité Baidu brosse
Utilisation WebView charge et exécuter le script js après le chargement est automatique coulissant complet, cliquez sur, d'enregistrer et d'autres opérations pour brosser automatiquement la publicité.
script js connexes.
1) La diapositive de définition de la fonction de, cliquez sur, opération de conservation.
analyse Java couche et obtenir passe de la couche js sur commande de fonctionnement.
2) js fonction détermine et acquiert des éléments de page.
...
3) js une fonction de calcul de la position relative des éléments de page et de glissement, une opération de clic.
...
brosse Capturé Baidu demande de charge ad WebView:
3, en utilisant un accès Web à brosse webview
Cette tâche requiert demande d'accès lien URL pour le serveur, après avoir obtenu l'URL de la page Web correspondante, l'utilisation charge WebView pour une visite.
besoins lien URL pour accéder à la demande
Utilisez WebView Obtenez l'accès url:
brosse Capturé aussi bon que d'un réseau de remise en forme médecin WebView demande de chargement:
En quatrième lieu, la finition des URL pertinentes
V. Conclusion
Des applications malveillantes Android de la fin récente des pratiques maléfiques de vue, les développeurs plus malveillants directement transférés Les développeurs d'applications pour développer des applications tournées SDK, les applications Android de la chaîne d'approvisionnement en amont. En fournissant un SDK malveillant pour les développeurs d'applications, les développeurs malveillants peuvent réutiliser les canaux de distribution pour ces applications, développez très efficace le champ d'influence de l'utilisateur. En termes de catégories, les professionnels de la production de noir SDK malveillant avant de se concentrer sur la perception de l'utilisateur d'une quantité sans publicité de brosse et brosser la direction quantité du site, les techniques de chargement en utilisant la séparation de code et code dynamique, la mise en uvre réelle peut être complètement fabriqués à partir de nuages codes, contrôler le dispositif utilisateur comme un « poulet » publicité, sites web et autres brosse noir comportement de production de volume, avec une forte secrète.
Un tel type de flux de production noir a augmenté progressivement, non seulement porter préjudice aux utilisateurs de téléphones mobiles, mais aussi à la fin de la publicité mobile anti-triche est un grand défi pour les stratégies de lutte contre la fraude traditionnelles basées sur IP, la fréquence de l'exposition, le CTR et une autre représentation de données formée ce contrôle est difficile d'identifier un grand nombre de dispositifs réels ne constituent « poulet » de la tricherie brosse, il est difficile de protéger les développeurs d'applications et les annonceurs des droits et intérêts légitimes.
* Auteur: femme de ménage mobile Tencent, tiré à part FreeBuf.COM
