[Android]Android Cerberus 恶意样本分析( 二 ) |DEX|软件|Flash|

本文插图

本文插图

计步机制触发与 C2 服务器通信在保活广播接收器组件中，实现了一个简单的计步器来触发木马与 C2 服务器的通信。

本文插图

本文插图

更新攻击命令计步数量达到阀值后，启动 HBOxMrf 木马服务拉取 C2 服务器的攻击命令， C&C 服务器地址为：http://94.156.77.32/gate.php目前服务已经无法正常访问。客户端与 C2 服务器交互流程如下：
1.首先拉取 C2 服务器下发的攻击命令。

本文插图

2.如果响应命令为 ||no|| 则注册到 C2 服务器成为肉鸡设备

本文插图

3.如果命令包含 ||youNeedMoreResources|| 则下载 payload 并保存到 data/data/包名/apk/system.apk 文件中。

本文插图

本文插图

4.更新攻击命令到 payload 等待完成攻击。

本文插图

本文插图

忽略电池优化Cerberus 木马除了定时触发保活广播，还通过将自己加入电池优化白名单中来增强持续在系统中执行恶意活动的可能。

本文插图

窃听短信消息保活广播接收器同时也在接收短信消息类型的系统广播，当收到此类型广播时则读取出短信内容和发信人并保存到配置文件中，为后续执行恶意活动窃取短信消息做准备。

本文插图

激活设备管理员Cerberus 木马除了通过隐藏图标的方式防止感染者卸载自身外，还通过激活设备管理员权限来防止感染者卸载自身，同时也为了防止其他安全软件查杀卸载 Cerberus 木马。

本文插图

启动后台服务诱导启用无障碍服务Cerberus 木马的所有敏感操作都严重依赖于无障碍服务的启用，其通过循环拉起 “启用无障碍服务界面” 来诱导感染者对其进行无障碍服务授权。

本文插图

本文插图

请求窃听短信所需的权限请求窃取短信消息和联系人所需的权限。启动设备锁根据 lockDevice 标记执行设备锁操作。

本文插图

本文插图

[Android]Android Cerberus 恶意样本分析( 二 )

推荐阅读

娱乐盘点大剧院|一旦心寒了，人

「历史有妖气」我国网友：砍你家树了？，瑞典环保少女公开要求中国放弃使用筷子

魔镜原创街拍|街拍：今年很火的一款小背心，上镜率好高

香港一泰籍被羁留男子确诊，曾清洗过病人衣服

楼上牛大仙|嘉庆是如何对待他一家老小的？说出来别不信，处死和珅后

中国新闻网|新西兰宣布暂停与香港移交逃犯协定驻新西兰使馆回应

徐文聊育儿|假公主享尽荣华富贵，历史悬案：真公主受尽凌辱

肠胃不好应该喝什么茶,喝普洱生茶有什么需要注意的地方

家里马桶底座漏水怎么办马桶底座漏水怎么办

长征三号乙运载火箭发射长征三号乙运载火箭

「健身」23岁大四妹子甩肉30斤，从肥宅逆袭为健身女神，变化堪比整容！

世界旅行玩家■6天后痊愈出院，民众沸腾：把我们送去中国，法国飞行员在华治疗

全网首个海底世界直播，抖音邀你和陈学冬一起来“看海”

白睡莲种子催芽方法白睡莲视频

明明有男朋友还接受别人追求的女生，这样的女生通常是怎么样的人

流年絮语|《向往》黄磊坚持晨跑，看清摄影师第二视角，才知拍摄场面多大

东北虎进村伤人事件最新进展如何？遇到“拦路虎”该咋办？

春季想要排毒去火,就要这么吃

美食发现：魏无羡被勒出血，蓝湛脸上煞白，陈情令金光瑶用魏无羡威胁蓝湛

iphone12|李楠夸赞iPhone 12手感完美功能强大，但缺点也很明显