标签：android blog http strong io 2014 cti new
一、主包分析
包名：com.example.xxshenqi
应用名：XX神器
MD5：5956C29CE2E17F49A71AC8526DD9CDE3
主要恶意行为：遍历联系人后群发短信，使恶意木马再次扩散传播；伪造钓鱼页面，诱骗用户注册填写个人信息，导致隐私泄露；安装恶意子包。
权限：
程序入口
点击应用图标启动
遍历手机中的通讯录，获得联系人姓名及号码，并向这些号码发送内容为“【联系人】看这个http://cdn.yyupload.com/down/4279193/XXshenqi.apk”的短信。
短信发送完成后，向指定号码发送内容为“XXshenqi 群发链接OK”的短信。
注册接收“android.intent.action.PACKAGE_ADDED”广播的receiver，用于检测子包是否安装。
检测子包是否已经安装，如果没有安装，则将子包apk从主包的assets目录中释放到/data/data/com.example.xxshenqi/files，以便下一步安装。
显示提示框，引导用户安装子包。
子包安装后会，系统会发出“android.intent.action.PACKAGE_ADDED”广播，这个广播会被之前注册的receiver接收到。
收到广播后，会启动已安装的子包，并向指定号码发送内容为“new Tro instanll Ok”的短信。
进入程序的主界面
登录页面的处理：
账户永远不可能登录成功！
点击注册功能，显示一个钓鱼页面，诱导用户输入个人信息。
注册程序对用户输入的身份证号码做了一些简单的校验，例如：年份在1980至1996之间、月份的十位小于个位、日期在1至31之间、不符合条件的身份证号码不能通过验证。最后将获得个人信息（姓名和身份证号码）以短信形式发送至指定号码，并提示用户注册成功。
至此，主包功能结束
二、子包分析
包名：com.example.com.android.trogoogle
应用名：com.android.Trogoogle
MD5：b0dea6906329c47edbecd48adc15a996
主要恶意行为：启动后隐藏图标、通过短信指令控制，可实现窃取用户收到的短信信息、发送的短信信息、联系人信息、伪造和删除短信。
恶意子包在第一次启动后图标消失，之后的触发可以通过短信接收广播和开机自启广告启动，
通过开机自启动后，会直接进入SEND查询模式，随后进入RECV查询模式，当接受到短信时进入RECV查询模式。
SEND查询模式
进入SEND模式后直接将用户后续会发送的短信内容，通过短信的方式转发到指定号码。
RECV查询模式
进入RECV模式后，恶意子包接收短信指令，窃取用户短信信息，联系人信息，以及伪造短信。
对中招手机发送sendlink命令，会将联系人信息通过邮件的方式转发到指定邮箱。
对中招手机发送readmessage命令，把手机中所有的短信通过邮件的方式转发到指定邮箱。
通过邮件将联系人或短信发送到指定邮箱。
对中招手机发送sendmessage命令，会将后续收到的短信通过短信的方式转发到指定号码。
会对非11位的发件号码做特殊处理，如果中招手机接收到的短信的发送号码不是11位，木马作者认为可能是淘宝信息，在转发短信的同时，特别注释为“特殊消息”
对中招手机发送makemessage命令，接受到指令后会伪造短信信息。
三、解决方案
目前，360手机卫士可对蝗虫木马进行精准查杀。
下载地址：http://shouji.360.cn
标签：android blog http strong io 2014 cti new
原文地址：http://www.cnblogs.com/qxzy/p/3889296.html
