5月30日消息，360技術博客發(fā)布了一份技術研究報告稱，360手機安全中心截獲了一批“極其猥瑣”的手機惡意程序。這類惡意程序將正版手機APP的apk（安卓APP的安裝文件）集成到惡意程序中。在惡意程序運行后，釋放并安裝正版應用并將自身圖標隱藏，利用這種辦法迷惑用戶，“金蟬脫殼”般躲避手機用戶發(fā)現和查殺。目前，360手機衛(wèi)士已揪出背后真正的木馬文件——“替死鬼”木馬。360手機安全專家建議，發(fā)現例如“明星衣櫥”之類的應用請盡快使用360手機衛(wèi)士進行掃描查殺。
報告顯示，“替死鬼”木馬首先將正版APP和相關配置文件打包到木馬程序的“assets”目錄下，然后調用PackageManager（系統(tǒng)函數）中的setComponentEnabledSetting方法把自己的com.sysimg.image2.MainActivity禁用掉，這樣自身圖標會在系統(tǒng)的啟動器中消失。隨后啟動系統(tǒng)安裝程序，將正版APP釋放并安裝進手機。
360手機安全專家通過對比發(fā)現，兩張截圖中的圖標一樣（如下圖紅框標注），看不出任何差別，但是他們卻是指向不同的程序，左圖啟動的是惡意樣本（啟動后隱藏），而右圖啟動的卻是正常程序（被安裝APK圖標）。此時，惡意程序已經“金蟬脫殼”，隱匿于后臺。手機用戶對此真假難辨，即使卸載，也是卸載正常的APP。
圖1：左圖為樣本的圖標，右圖為樣本安裝的原版APK圖標
360手機安全中心分析發(fā)現，“替死鬼木馬”通過監(jiān)聽手機用戶解鎖手機、安裝或刪除APP的操作來激發(fā)惡意行為。當木馬運行后，手機會在桌面出現大量帶有誘惑性的快捷方式，引誘用戶點擊，一旦點擊就會觸發(fā)下載行為，不但造成上網流量的大量消耗，其下載的程序安全性更不能保證：有可能是危害更為嚴重的其他木馬文件。
圖2：“替死鬼”木馬會在手機桌面釋放大量誘惑性圖標 誘惑手機用戶下載
360手機安全專家指出，這類“替死鬼”木馬換個圖標、換個正版APK就可批量生產，很容易就能造成大范圍傳播。因此建議手機用戶使用360手機衛(wèi)士安全防護功能查殺這類木馬，并從360手機助手等正規(guī)市場下載手機APP。
360手機衛(wèi)士最新版下載地址：
http://shouji.#
“替死鬼”木馬技術研究報告地址：
http://blogs.#/360mobile/2014/05/30/false_scent_apk_file/
聯(lián)系客服
