Android恶意软件特征及分类

来源：互联网发布：淘宝库存管理软件编辑：程序博客网时间：2024/05/27 21:49

针对Android的恶意软件，除了熟知的木马、病毒，还有勒索软件(ransomware)、广告(adware)和间谍软件(spyware)。

要研究Android的恶意软件，首先需要知道，软件的哪些行为算是“恶意”，什么样的软件叫“恶意软件”。

恶意软件特征

文章[1]中给出了很详细的说明，推荐仔细阅读。这里根据自己的理解总结一下。

[1]从软件安装，功能触发，负载三个方面描述了恶意软件的特征。

比如把“愤怒的小鸟”反编译后，植入恶意代码，再重新编译为APK提交给第三方市场。它还可能做一下代码混淆，防止静态检测。

APP动态运行时才下载恶意负载。

引诱用户访问恶意网站，并在未经用户允许的情况下下载恶意负载。

用户直接点击，就触发了恶意负载的运行。

广播机制会自动进行事件通知和函数回调。所以恶意软件通过监听系统事件，就能自动触发恶意负载。

主要有5类：

特权提升能够突破Android的权限机制和沙箱机制，允许恶意软件执行特权操作。

远程灵活控制，负责信息回传，更新本地恶意功能。

比如强行定制SP服务并从中牟利。
恶意软件还会通过过滤SP的短信，达到秘密扣费的目的。

窃取短信，通讯录，通话记录，定位，拍照等功能。手机用户隐私数据，社交数据和设备数据。

恶意软件利用代码保护技术，造成静态分析失败，反编译困难。

ProGuard可用于压缩，优化和混淆Java字节码。

根据[2]，可知Android恶意软件有不同的分类方法，下面介绍两种分类。

按照传统的分类方法，恶意软件可分为：

木马类：这是一类多发性的恶意软件，比如
- Zsone:自动发短信去订阅付费内容，从而扣除电话费
- FakeNetflix: Netflix是一个看视频的软件。FakeNetflix会盗窃Netflix用户的账号信息，并传回Server端
- Fakeplayer:
- Spitmo: 被注入到银行应用中，偷盗用户的银行账号密码
- Zitmo: 盗窃银行发送的验证码
病毒类
- Obad: 蠕虫病毒，自我复制和传播
后门类
- Obad: 利用Android提升权限，防止被卸载。向增值服务号码发送短信获利。既是后门，又是病毒
- RATC: RageAgainstTheCage，adb setuid exhaustion attack，是一个Root漏洞
- Basebridge: 它会kill掉安全应用，并发送获利短信订阅增值服务
- Kmin: 盗取信息并传回server端
僵尸类
- Geinimi：接受远程指令，控制移动端手机，并收集手机信息传回server端
- AnserverBot: 接受远程指令
- NotCompatible: 让你的手机变成一个proxy
间谍类软件
- GPSSpy: 伪装成其他APP，上传用户的GPS信息
- Nickyspy: 记录受害者的电话拨入拨出信息，track用户GPS信息，向其它号码发送短信
恐吓类软件
- Koler: 显示信息，告诉用户你不交钱就要把你送进监狱
勒索类软件
- Fakedefender.B: 显示安全报警信息，说服用户购买服务来删除不存在的malware
广告类软件
- Uapush.APP: 广告软件+偷窃设备信息
跟踪类软件
- SMSTracker

也有根据Android恶意软件的特征来进行分类的：

Android.Lotoor(36.8%): 利用漏洞来获取root权限
Android.RevMob(10.0%): 广告库
Android.Malapp(6.1%): 弹出广告，诱导你进入不安全网站
Android.Fakebank.B(5.4%): 偷盗信息
Android.Generisk(5.2%): 暴露隐私、安全、稳定性risk
Android.AdMob(3.3%): 广告库
Android.Iconosis(3.1%): 偷盗你的联系人、图片，track你的位置，访问短息，log你的按键按下信息，发送短信订阅高额服务，
Android.Opfake(2.7%): 发送短信订阅增值服务
Android.Premiumtext(2.0%): 发送短信订阅增值服务，被重打包过
Android.Basebridge(1.7%): 发送短信订阅增值服务，还会kill掉安全应用

[1] Android恶意软件检测研究与进展_彭国军
[2] Android安全研究进展_卿斯汉
[3] 2016 Internet Security Threat Report, https://www.symantec.com/security-center/threat-report

0 0