FreeBuf卡巴斯基：手机广告软件分析( 二 )

本文插图
Trojan-Downloader.AndroidOS.Facmod.a在智能手机正常运行所需的应用程序中发现了恶意软件Facmod.a ，其加密C&C地址如下：

本文插图
模块（com.android.systemui.assis）从服务器ufz.doesxyz [.] com接收地址，用于下载和运行名为DynamicPack的代码：

本文插图

本文插图
第二个模块（com.cash）从应用程序加密资源中加载有效负载，可以安装和运行应用程序：

本文插图
Trojan-Dropper.AndroidOS.Guerrilla.i在Launcher系统程序中找到Guerrilla.i木马，其主要负责智能手机“桌面”功能。该木马的任务是定期在浏览器中显示广告并打开广告页面。 Guerrilla.i通过调用htapi.getapiv8[.]com/api.php?rq=plug接收配置文件，该文件还包含其他模块的下载地址。

本文插图
Trojan-Dropper.AndroidOS.Virtualinst.c该dropper可以在主题应用程序（com.nbc.willcloud.themestore）中进行隐藏，可在用户不知情的情况下下载，安装和运行应用程序。

本文插图
AdWare.AndroidOS.Secretad.c该广告软件内置在墙纸目录应用程序中。 Secretad.c有效负载包含在文件kgallery.c1ass中，当设备被解锁或安装了应用程序时，它将被解压缩并启动：

本文插图

本文插图
Secretad.c可以全屏模式显示广告，在浏览器中打开页面或启动广告应用程序本身，可以在用户不知道的情况下安装应用程序。

本文插图
其他功能模块如下：

本文插图
总结调查表明，移动设备供应商会通过各种广告工具来实现利润最大化。如果用户购买带有预装广告的设备，通常不可能在不损坏系统的情况下将其删除，固件刷新会导致手机无法保修甚至损坏设备。
IOCsMD542c97a5da141b9cfd7696583875bcef5
0065d7177dfd65cebb1e2e788dce0082
fc0824678f582b0bdf65856e90cf0a01
520*eee2f9dc522a87398f3bd5be94
cf808957da17f6a0b5d266b0e301bf63
04705df0913ccc0a12abddbcb757bac4
5d05e62fb18c6e1128522fe3371d2c91
5a2e5a1f768e4f33bd007f9acd2a9d0d
6c0d83e9e0eeed44ab1a1e5affb68b85
28119119d19fc3d986df63517dee465e
c81d66f5206193ce76b7f4f0b813f705
00c62413845fba1d9ddfd0e8d99f167b
d7b13e3f54ff5b8ff3e2c78e67e665eb
04fe069d7d638d55c796d7ec7ed794a6
C&Cwww.ywupscsff[.]com/fud.do
www.mzeibiyr[.]com/7ve5.do
i151125.infourl[.]net:9080
www.jueoxdr[.]com/ea.do
ufz.doesxyz[.]com
htapi.getapiv8[.]com/api.php?rq=plug