记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

伪装成抖音国际版Tiktok的短信蠕虫

2020-08-05 13:25

 

概述:

近期安全员监测到一款仿冒Tiktok的短信蠕虫,该短信蠕虫最明显的特点就是针对Android系统版本高于6.0以上的设备,由于Android版本的更新迭代,现在大部分设备已经更新到较高的版本,通过不完全统计,Android系统版本6.0以上的设备已经超过了80%,这也促使恶意程序要适配更高版本的设备,因此该仿冒Tiktok的短信蠕虫如果传播开,可以覆盖更大面积的设备。

 

1.样本运行流程

应用首次运行检测并申请大量敏感权限,如果未能授予权限,则重复申请,直至申请敏感权限成功,进而开启恶意服务器获取通讯录联系人,并遍历联系人发送指定短信内容,短信包容包含该类恶意程序,程序正常进入后,则是通过大量广告谋取利益。

图1 样本运行流程图

 

2.样本详细信息

2.1 盗版程序详细信息:

程序名称Tiktok Pro
程序包名com.benstokes.pathakschook
程序MD5B028D2A6FA96FB493991700F5B0410D3
签名信息C=debugging
签名MD5C13F92D0397DA7423A4142BFA9A5873E
图标

2.2 正版程序详细信息:

程序名称TikTok
程序包名com.ss.android.ugc.trill
程序MD578ACEACF4BB02D19174A2801F32257EC
签名信息CN=Micro Cao, OU=ByteDance, O=ByteDance, L=Beijing, ST=Beijing, C=CN
签名MD5AEA615AB910015038F73C47E45D21466
图标

 

3.技术原理分析

程序启动后首先判断通讯录、短信、定位等敏感权限是否打开,未打开则一一动态申请,权限开启后,程序启动恶意服务,后台私自获取用户通讯录联系人,接着遍历所有联系人并发送指定的短信内容,短信内容即为提醒用户更新最新版Tiktok,并附有链接,实则下载该恶意程序,程序主要通过广告盈利,即通过该恶意蠕虫,一传十,十传百,从而让更多人的手机成为肉鸡,来浏览设定好的广告并谋取利益。

3.1 程序启动初始化

程序启动判断是否开启敏感权限,如果开启,则启动恶意服务,后台获取通讯录联系人,群发包含该恶意程序的短信。

图2 程序启动初始化

启动时申请的权限:

图3 程序初始化申请的权限

3.2 用户登录仿冒Tiktok

程序虽然设置了登录界面,但是用户输入的账户密码并未上传,这也说明了该程序的最终目的就是通过广告盈利。

图4 通过更真实的界面伪装自己

3.3 获取通讯录群发短信

恶意服务开启后,后台获取去通讯录联系人,遍历通讯录联系人发送指定短信,短信中包含该恶意程序链接。

获取通讯录联系人:

图5 获取通讯录联系人

筛选后将通讯录联系人保存在数组中备用:

遍历通讯录联系人发送指定短信内容:

图6 遍历联系人准备发送短信

解密要发送的短信内容:

图7 发送带有恶意程序链接的传播短信

解密后字符串:

Enjoy Tiktok Videos and also make CreativeVideos again. Now Tiktok is only Available in (Tiktok pro) SoDownload from below.

Link: http://t***.cc/Tiktok pro

图8 待发送短信截图

下载应用详细信息:

程序名称Tiktok Pro
MD5EDB563FDCAB0AB0580FDEEFAD6FFF9AD
包名com.benstokes.pathakschook
所有者C=debugging
证书MD5C13F92D0397DA7423A4142BFA9A5873E
图标

3.4 通过广告获利

程序包含applovin和google广告,程序主要目的就是通过群发短信,让更多的人安装盗版的Tiktok,进而通过内置的广告获利:

广告模块:

图9 程序嵌入的广告模块

AppLovin广告模块:

图10 AppLovin广告模块

 

4.情报挖掘溯源

短信包含地址:http://t***.cc/Tiktokpro

短地址域名:t***.cc

域名对应IP:157.***.***.153 美国纽约州 纽约

真实下载地址:https://raw.gi******nt.com/newtiktokpro/login/master/Tiktok%20pro.apk。

下载地址域名:raw.gi******nt.com。

域名对应IP:151.***.**.133 美国。

 

5.IOCs

文件SHA1:

6FAA034AB2F1154825A50897A2ACE54FBE87B3C1

324005D7DC633F89EA6108FA072B6C83F3EAF4FC

CFE7DCE6C4039FE709091703D2C1EE8071564999

11CD5C4C5F37D80A9DD3BBF6B1CB532F6C58370D

BAB55B26C840F0FA233E36A6C966EFBF4BA64E74

A0D4F9D00FDB903DCAD27E0A07623571CF2FDF54

25E27DB61F2E0C035CB4E16FA0D75002E7F07E26

DE72D4A582D4872168E6F4AD4DD03EC6E544B243

F8996B8DA8C4FA4084757FF171FE886E50015B84

CE62651512A26324CB50CF731B2D5A0BFEFA9B8F

C2

t***.cc

raw.gi******nt.com


知识来源: https://www.anquanke.com/post/id/212758

阅读:16707 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“伪装成抖音国际版Tiktok的短信蠕虫”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云