联系我们联系我们
电子邮箱电子邮箱

【原创】我与短信拦截木马的故事

[复制链接]
  • TA的每日心情
    开心
    2018-4-16 08:38
  • 签到天数: 141 天

    [LV.7]常住居民III

    一把附魔钻石剑 发表于 2017-8-23 17:01:36
    3866 20
    大家好,我是你们的老朋友Alex。正在想写什么的时候,突然发现网盘里安安静静的躺着一个以前哥们脱壳的短信拦截木马,就决定写这样一篇文章来让大家了解拦截马并且保护自己免受这种木马的侵害!
    image001.png
    首先看了一下样本,大小是400K左右。功能的话就是收集通讯录联系人和所有短信记录下发到指定163邮箱和手机号,拦截所有短信转发到指定邮箱和手机,后台清理不下线。不过这样的话应该算是这种木马的基础功能吧,另外设置有自删除和替换原有短信应用的功能!看了一下支持版本在安卓4.0及以上,卸载木马的时候有一定的技巧而且大部分的管理软件无法卸载此木马。
    看一下大致的木马利用过程!
    用到工具:apktool   apktool助手   MT管理器

    需要准备一个手机号注册的163邮箱并且开启授权码,如图
    image002.png

    image003.png
    这样收信的邮箱就准备好了。

    接着该配置木马了,使用MT管理器打开apk
    image005.png

    打开classes.dex文件,选择搜索类输入手机号
    image006.png

    将手机号码改为替换的手机号和箭头指向的地方填入邮箱授权码,大家可以知道为什么要用手机号注册163邮箱了吧=W=
    image007.png

    修改有效期也是同样如此
    image008.png

    修改很简单,然后就是更换应用名称  图标了,更换的方式有两种。

    第一种直接在现有打开的文件中替换,图标在/res/drawable-hdpi
    image009.png

    名称在
    image010.png

    image011.png

    第二种使用apktool反编译apk
    image012.png

    然后在apktool助手中打开反编译后的文件夹
    image013.png

    image014.png

    image015.png

    这样就可以修改了,还可以修改包名!然后再使用apktool编译然后签名就OK了!
    image016.png

    如果可以的话加一个壳,或者转码加密手机号和邮箱。
    image017.png

    我们安装测试
    image019.png

    image020.png

    安装激活后,会向我手机号发送上线信息
    image021.png

    还有邮箱
    image023.png

    再看桌面,木马已经消失了!!!!
    image024.png

    如果找不到实用的图标可以使用Restorator提取
    image025.png


    具体的卸载我就不演示了,手机截图再传太麻烦了!首先取消激活再使用系统自带卸载就可以删除掉了!手机管家查到毒了,但是不能卸载就很尴尬。
    谢谢大家阅读此文章,用攻击者的角度来讲解木马利用,也就更好防范了!
    PS

    我竟然突发奇想,是不是可以用这个来防范短信轰炸 =w=
    image027.png

    样本文件:链接:
    游客,如果您要查看本帖隐藏内容请回复
    dexCrypt:链接:
    游客,如果您要查看本帖隐藏内容请回复

    评分

    参与人数 1威望 +10 金钱 +30 贡献 +5 收起 理由
    HoxTon、夔龍 + 10 + 30 + 5 很给力!

    查看全部评分

    回复

    使用道具 举报

    HoxTon、夔龍 发表于 2017-8-23 17:03:38
    我曹,艾利克斯大佬又现身了!!
    回复 支持 反对

    使用道具 举报

    J4me5 发表于 2017-8-24 01:47:11
    谢谢分享,看看这个样本
    回复 支持 反对

    使用道具 举报

    黑猫123 发表于 2017-8-24 13:34:32 来自手机
    666
    回复 支持 反对

    使用道具 举报

    疯狂的人类 发表于 2017-8-24 19:28:47
    我看看一下啊来学习了
    回复 支持 反对

    使用道具 举报

    疯狂的人类 发表于 2017-8-24 19:28:57
    我看看一下啊来学习了
    回复 支持 反对

    使用道具 举报

    NXG 发表于 2017-8-25 12:14:52
    回复 支持 反对

    使用道具 举报

    陈振斌 发表于 2017-8-29 09:40:15 来自手机
    dexCrypt
    回复 支持 反对

    使用道具 举报

    wy007 发表于 2017-9-3 16:57:28
    感谢分享 学习一下
    回复 支持 反对

    使用道具 举报

    weder123 发表于 2017-9-8 11:36:22
    非常感谢 先拿来学习学习
    回复 支持 反对

    使用道具 举报

    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    发表新帖

    小黑屋|手机版|Archiver|华盟论坛 ( 京ICP证070028号 )

    Powered by 华盟网 X 8.0  © 2001-2013 Comsenz Inc.  华夏黑客同盟