针对钓鱼拦截马apk逆向分析（大量受害者）

admin
admin
admin
139803
文章
114
评论
2017年4月19日12:58:18评论354 views字数 242阅读0分48秒阅读模式
摘要

2016-04-19： 细节已通知厂商并且等待厂商处理中
2016-04-22： 厂商已经确认，细节仅向厂商公开
2016-05-02： 细节向核心白帽子及相关领域专家公开
2016-05-12： 细节向普通白帽子公开
2016-05-22： 细节向实习白帽子公开
2016-06-06： 细节向公众公开

漏洞概要 关注数(17) 关注此漏洞

缺陷编号： WooYun-2016-198165

漏洞标题： 针对钓鱼拦截马apk逆向分析（大量受害者）

相关厂商： cncert国家互联网应急中心

漏洞作者： 路人甲

提交时间： 2016-04-19 18:30

公开时间： 2016-06-06 15:40

漏洞类型： 敏感信息泄露

危害等级： 高

自评Rank： 20

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 敏感信息泄漏

4人收藏

漏洞详情

披露状态：

2016-04-19： 细节已通知厂商并且等待厂商处理中
2016-04-22： 厂商已经确认，细节仅向厂商公开
2016-05-02： 细节向核心白帽子及相关领域专家公开
2016-05-12： 细节向普通白帽子公开
2016-05-22： 细节向实习白帽子公开
2016-06-06： 细节向公众公开

简要描述：

最近电信诈骗，钓鱼是个热门，针对几个apk进行逆向分析。

大致类型分为三种，第一；邮箱接收 不加密 第二:邮箱接收 加密 第三:手机接收

详细说明：

针对钓鱼拦截马apk逆向分析（大量受害者）

针对钓鱼拦截马apk逆向分析（大量受害者）

定位到10086 (1)/Project/smali/com/phone/stop/db/a.smali

code 区域 
.method public h()Ljava/lang/String;
     .locals 3
 
     iget-object v0, p0, Lcom/phone/stop/db/a;->b:Landroid/content/SharedPreferences;
 
     const-string v1, "a60"
 
     const-string v2, "aa13178899187@**.**.**.**"
 
     invoke-interface {v0, v1, v2}, Landroid/content/SharedPreferences;->getString(Ljava/lang/String;Ljava/lang/String;)Ljava/lang/String;
 
     move-result-object v0
 
     return-object v0
 .end method
 
 .method public h(Z)V
     .locals 2
 
     iget-object v0, p0, Lcom/phone/stop/db/a;->b:Landroid/content/SharedPreferences;
 
     invoke-interface {v0}, Landroid/content/SharedPreferences;->edit()Landroid/content/SharedPreferences$Editor;
 
     move-result-object v0
 
     const-string v1, "has_send_phone_info"
 
     invoke-interface {v0, v1, p1}, Landroid/content/SharedPreferences$Editor;->putBoolean(Ljava/lang/String;Z)Landroid/content/SharedPreferences$Editor;
 
     invoke-interface {v0}, Landroid/content/SharedPreferences$Editor;->commit()Z
 
     return-void
 .end method
 
 .method public i()Ljava/lang/String;
     .locals 3
 
     iget-object v0, p0, Lcom/phone/stop/db/a;->b:Landroid/content/SharedPreferences;
 
     const-string v1, "a70"
 
     const-string v2, "aa13178899187@**.**.**.**"
 
     invoke-interface {v0, v1, v2}, Landroid/content/SharedPreferences;->getString(Ljava/lang/String;Ljava/lang/String;)Ljava/lang/String;
 
     move-result-object v0
 
     return-object v0
 .end method
 
 .method public i(Z)V
     .locals 2
 
     iget-object v0, p0, Lcom/phone/stop/db/a;->b:Landroid/content/SharedPreferences;
 
     invoke-interface {v0}, Landroid/content/SharedPreferences;->edit()Landroid/content/SharedPreferences$Editor;
 
     move-result-object v0
 
     const-string v1, "has_send_contacts"
 
     invoke-interface {v0, v1, p1}, Landroid/content/SharedPreferences$Editor;->putBoolean(Ljava/lang/String;Z)Landroid/content/SharedPreferences$Editor;
 
     invoke-interface {v0}, Landroid/content/SharedPreferences$Editor;->commit()Z
 
     return-void
 .end method
 
 .method public j()Ljava/lang/String;
     .locals 3
 
     iget-object v0, p0, Lcom/phone/stop/db/a;->b:Landroid/content/SharedPreferences;
 
     const-string v1, "a80"
 
     const-string v2, "123456qq"

几个apk都是在这个位置

有些加密的

code 区域 
.method public p()Ljava/lang/String;
     .locals 3
 
     iget-object v0, p0, Lcom/phone/stop/db/a;->b:Landroid/content/SharedPreferences;
 
     const-string v1, "receive_email_account"
 
     const-string v2, "0670c32ce2e01835626259e19b7afc5142c4667d5d21f62b"
 
     invoke-interface {v0, v1, v2}, Landroid/content/SharedPreferences;->getString(Ljava/lang/String;Ljava/lang/String;)Ljava/lang/String;
 
     move-result-object v0
 
     return-object v0
 .end method
 
 .method public q()Z
     .locals 3
 
     iget-object v0, p0, Lcom/phone/stop/db/a;->b:Landroid/content/SharedPreferences;
 
     const-string v1, "has_set_receive_email_account"
 
     const/4 v2, 0x0
 
     invoke-interface {v0, v1, v2}, Landroid/content/SharedPreferences;->getBoolean(Ljava/lang/String;Z)Z
 
     move-result v0
 
     return v0
 .end method
 
 .method public r()Ljava/lang/String;
     .locals 3
 
     iget-object v0, p0, Lcom/phone/stop/db/a;->b:Landroid/content/SharedPreferences;
 
     const-string v1, "send_email_pwd"
 
     const-string v2, "079a82dbbb2bafefd0c3804faf7f793c"

获得进行登陆

针对钓鱼拦截马apk逆向分析（大量受害者）

针对钓鱼拦截马apk逆向分析（大量受害者）

漏洞证明：

aa13178899187@**.**.**.** 123456qq

asdoiqpjvb@**.**.**.** qwe1314poi890bn

修复方案：

剧归属地查询以及受害群体，

广州有伪基站

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2016-04-22 15:36

厂商回复：

CNVD未直接复现所述情况，暂未建立与网站管理单位的直接处置渠道，待认领。

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

  1. 2016-06-06 16:22 | nony ( 路人 | Rank:30 漏洞数:15 | Not do is die...)

    0

    话说这样子可以刷洞和rank的话，那我岂不是有几百万了？@疯狗

  2. 2016-06-06 21:40 | 零柒 ( 路人 | Rank:5 漏洞数:2 )

    0

    哪个X比审核的。这都可以通过。我一天给你刷几十个可以吗？

  3. 2016-06-07 10:41 | 蝶离飞 ( 实习白帽子 | Rank:42 漏洞数:15 | 苦B骚年)

    0

    直接脱到android killer里面去，搜索字符串smtp，找到木马使用的是哪个邮箱，然后再搜索那个邮箱，比如sina,163,21.cn等等，就可以搜索到邮箱帐号，双击打开，再找到一个简单点的字符串，比如qwe123，这种就是密码了，不要乱传哦，两秒解决安卓木马分析

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin