2016年-360研究报告_“百脑虫”手机病毒分析报告_22页_1mb

“百脑虫”手机病毒分析报告总结

核心内容

“百脑虫”是一种在2015年末被发现的Linux系统层手机病毒，因其能够通过多个应用传播，导致用户手机出现莫名下载应用、自动订阅扣费服务等问题，且删除后仍无法彻底清除，因此得名。

主要观点

• 传播方式：病毒通过插件形式嵌入各种应用中传播，尤其集中在色情类应用和高人气正常应用中。
• 隐蔽性：病毒无图标，伪装成系统应用，用户难以察觉。
• Root利用：病毒会检测手机是否root，如果没有则尝试通过第三方工具进行提权。
• 系统级安装：成功提权后，病毒将核心模块安装为系统应用，使用户难以卸载。
• 恶意行为：包括静默下载安装其他应用、劫持用户隐私、自动扣费等。
• 自动恢复机制：病毒会备份自身文件，一旦被删除，会自动恢复。
• 数据上传：病毒会定期将手机信息上传至远程服务器，用于后续操作。

关键信息

传播途径

• 色情视频类应用：如“成人影院”、“媚娘影音”、“禁播视频”等，名称极具诱惑性。
• 高人气正常应用：如“雷霆战机 2015 新年版”、“千炮捕鱼新年版”等，被篡改后传播病毒。

病毒模块与功能

• conbb：病毒的核心模块，负责安装与执行。
• core：病毒的核心模块，通过注册 receiver 实现随系统启动或网络状态变化时启动。
• 解密机制：使用密钥和动态解密函数来隐藏病毒代码。
• 提权流程：通过 librgsdk.so 模块进行提权，该模块原本为正规厂商提供，但因验证不严谨被病毒利用。
• 恶意行为：包括检查安全软件、劫取用户隐私、静默推广安装其他应用及病毒文件等。

病毒执行流程

1. 解密病毒模块及字符串。
2. 检测手机是否处于 root 状态。
3. 如果未 root，则加载 librgsdk.so 模块执行提权。
4. 成功 root 后，安装 core 模块为系统应用。
5. core 模块启动后，清理缓存 dex 文件，并加载所有 JAR 包的主入口。
6. 定期连接远程服务器下载应用并执行。
7. 自动备份自身文件，防止用户卸载后恢复。

查杀与修复

• 360手机急救箱：支持对“百脑虫”病毒的查杀与修复。
• 建议：用户应避免从非官方渠道下载应用，安装正规安全软件，提高安全意识。

附录信息