『Android』Android Cerberus 恶意样本分析( 三 ) |DEX|软件|Flash|

本文插图
更新辅助服务状态到 payload无障碍服务无障碍服务启用后通过监控界面元素，模拟点击界面授权按钮来完成权限的自我授权和设备管理员的激活操作。同时监控界面活动是否正在进行安全扫描、是否正在卸载恶意软件来避免木马被查杀和卸载。包括监控界面是否打开目标活动，将其通知给 payload 完成界面劫持攻击操作。在无障碍服务中模拟点击激活按钮，完成激活设备管理员防止被用户卸载，也为后续锁定设备提供权限支撑。

本文插图

本文插图
监控界面是否在 Google Play 保护机制扫描界面，如果是则发送回退事件防止被查杀。

本文插图
监控当前前台活动发送到 payload 执行相关攻击操作。

本文插图
木马传播机制Cerberus 木马的作者曾在 Twitter 上表明，其传播采用钓鱼网站以 Flash Player 的形式进行传播来诱导用户下载安装恶意木马。建议用户在网站下载应用时应特别注意网站的真实性和安全性避免被钓鱼或劫持攻击。

本文插图

本文插图

本文插图
总结Cerberus 恶意木马通过字符串混淆、执行流混淆、动态加载代码、动态解密字符串和实现了一个简单的计步器机制来对抗安全人员的分析工作。同时利用了 Android 无障碍服务的屏幕监控功能，通过监控手机屏幕内容的改变事件，模拟点击危险权限授权按钮进行自我授权、监控用户的安全扫描和卸载行为进行自我保护以及监控前台应用活动界面完成对目标的劫持攻击。对于本次分析遗憾的是由于 C2 服务器的关闭导致无法获取到核心的 payload 代码和相关恶意指令，从而无法进行更加全面的分析木马的攻击机制。但 payload 想要完成攻击终究还是依赖于无障碍服务的启用，我相信 Cerberus 木马家族的新变种也会依赖于该功能，所以建议在日常使用 Android 设备时应谨慎启用设置中的无障碍服务开关。
Cerberus 仍是目前较为活跃的 Android 平台新型木马，其作者通过租赁的方式进行盈利，同时在黑市和 Twitter 上宣传木马内容从而吸引恶意活动参与者购买此木马。
此类木马危害极大，普通用户在下载相关软件时请首先确认网站的真实性，确保软件来源的可靠性防止被钓鱼攻击下载到此类恶意软件。
【『Android』Android Cerberus 恶意样本分析】
参考文章