揪出底层的幽灵：深挖寄生灵Ⅱ-安全客

一、背景

前不久，360核心安全团队拦截到一款安卓系统级病毒“寄生灵Ⅱ”，第一时间向广大用户发出了预警——《警惕！寄生灵卷土重来，数十万用户遭殃》。该病毒寄生于色情应用中，一边霸屏推广色情应用，一边暗中消耗用户话费非法获益，给用户带来了经济上的损失和精神上的烦恼。

相比“寄生灵一代”，二代病毒自身使用了大量加密代码，恶意功能全部云端加载，使得恶意行为更难发现，取证更难进行。鉴于此种情况，360核心安全团队对此病毒进行了进一步跟踪和分析，从冰山一角逐渐挖掘出一条完整的“寄生灵”进化链。

二、传播途径

“寄生灵Ⅱ”众多变种分析结果显示，其主要寄生宿主为色情应用和被篡改的热门游戏，其中色情应用居首，占比接近3/4，篡改的热门游戏位居第二占比约15.5%。

“寄生灵Ⅱ”病毒传播途径

1. 色情应用

在浏览网页时，难免会遇到“不可描述”的网页突然弹出，如果你刚好手滑键戳到了“进入”，不用多说，下一个页面一定是穿着暴露小姐姐和从来都没有变的套路——“下载客户端”、“需要安装播放器”、“浏览器版本过低”等等。

“寄生灵Ⅱ”病毒相关的色情类网站

据统计，此类应用的图标和名称往往充满诱惑，诱导用户安装，此外这些携带病毒的色情应用不仅通过此类色情类网站传播，还通过不正规的第三方应用市场疯狂传播。

如果用户按照提示完成了安装，“寄生灵Ⅱ”便成功寄生在用户手机上。

“寄生灵Ⅱ”病毒寄生的色情类应用

2. 篡改的热门游戏

“寄生灵Ⅱ”病毒还通过一些被篡改的热门游戏应用进行传播，如“绝地求生”、“消灭星星”、“跳一跳”、“小小神枪手”等等。如果用户安全意识薄弱，未通过官方或正规第三方电子市场下载安装此类应用，很容易被病毒感染。

“寄生灵Ⅱ”病毒寄生的热门游戏

在此360核心安全团队提醒广大网友，要想手机不中毒，必须养成良好的上网习惯，拒绝安装来路不明的手机软件。

三、感染量统计

据360核心安全团队监测数据显示，“寄生灵Ⅱ”从2018年2月开始呈现爆发式增长，平均月新增感染量接近20W，累计感染量已达70W。

“寄生灵Ⅱ”病毒感染趋势统计

被“寄生灵Ⅱ”感染的用户遍布全国所有省份，其中，广东、河南、河北是病毒感染的重灾区，排名前十省份占全国感染总量的60.1%。

“寄生灵Ⅱ”病毒感染省份分布统计

按城市统计，“寄生灵Ⅱ”感染量最多的十个城市中，重庆、成都、广州感染量居前三位。

“寄生灵Ⅱ”病毒感染城市统计

被感染手机的厂商具有一定的集中性，前5已经达到75%，特别是第一名的厂商，超过了4成，具体分布如下图所示。

“寄生灵Ⅱ”病毒感染手机厂商分布

受“寄生灵Ⅱ”病毒影响的Android系统版本也是非常的广泛，主要集中在Android5.1和Android4.4，具体分布如下图所示。

“寄生灵Ⅱ”感染的Android系统版本统计

四、详细分析

在对大量“寄生灵”病毒家族分析中，360核心安全团队将其分为了五个阶段，每个阶段的变化和时间点如下：

“寄生灵”病毒家族演化过程

“寄生灵Ⅱ”病毒执行流程如下图所示：

“寄生灵Ⅱ”病毒执行流程

“寄生灵Ⅱ”病毒母包色情应用主要包括两大模块：

广告推送&扣费模块
病毒模块

两个模块的主要功能如下：

广告推送&扣费模块：

该模块实现私自发送短信订购服务、恶意扣费、频繁推送广告的功能。

病毒模块：

实现病毒核心恶意推广功能。

4.1 广告推送和扣费模块

广告推送和扣费模块集成了大量第三方支付方式，协助病毒实现暗中发送短信订购服务，达到恶意扣费非法获利的目的。频繁弹出的广告在点击之后会下载更多应用，使手机变慢变卡，严重影响手机正常使用。

广告推送&扣费模块主功能Jar包由APK释放，根据不同的APK，主功能Jar包的文件名有所不同。Jar包运行后生成的主要文件：

除了云*支付、云*支付，该模块还集成了大量第三方支付方式：

“寄生灵Ⅱ”病毒集成的第三方支付

这些集成在恶意应用的第三方支付，为病毒的发送并拦截短信、私自订购服务、实现恶意扣费功能提供了支持，造成用户的资费损失。

4.2 病毒结构详细分析

病毒模块由母包APK释放的“tongyu-pay-lib.apk”和“opa_link.jar”，以及云端服务器下载的系统级核心模块组成：

1) tongyu-pay-lib

APK释放、加载tongyu-pay-lib.apk，并对其版本进行检测更新：

更新病毒模块tongyu-pay-lib

tongyu-pay-lib会联网下载 l18141.zip ：

下载 l18141.zip

加密的URL

解密后的URL

l18141.zip 是一个经过加密的数据包，执行解密代码如下：

解密代码

得到正常压缩包gameid.zip，解压ZIP包后，得到冒充“友盟”的so文件：

伪装“友盟”的so文件

tongyu-pay-lib.apk调用libumeng.so导出的load_native函数去加载母包APK释放的opa_link.jar：

load_native加载opa_link.jar

2) opa_link

opa_link为寄生灵Ⅱ病毒的核心主体框架，其功能为释放病毒的底层核心模块：首先发送经过DES加密的HTTP请求，返回的JSON对象如下：

病毒获取的JSON数据

解析获取病毒底层核心模块的URL地址，然后到云端服务器下载文件，下载的文件经过加密：

“寄生灵Ⅱ”经过加密的ELF文件

执行解密代码：

“寄生灵Ⅱ”病毒解密代码

得到寄生灵Ⅱ病毒的底层核心功能so文件：

“寄生灵Ⅱ”底层核心功能so文件

3) 底层核心功能

“寄生灵Ⅱ”病毒的底层核心功能框架如图所示：

“寄生灵Ⅱ”底层核心功能框架

“寄生灵Ⅱ”ELF层主要分为三个模块：

初始化模块

启动模块运行创建两个线程：执行命令“mount -o remount,rw /system”，以可读写的方式加载/system分区，分别将/sdcard/.mnodir 路径下的启动脚本和病毒核心模块拷贝到 /system/etc 和 /system/xbin 目录下并修改为可执行权限，最后删除清理掉原 /sdcard/.mnodir 下的文件。