记录一次分析盗版谷歌浏览器（木马软件）

zskj2736472509

小白第一次发帖，写在前头
本人在逛b站时候发现一个关于盗版百度的视频
这个盗版百度有输入密码界面 改变桌面图标 于是我寻找样本 找到了 来记录一下我的分析过程
首先虚拟机安装测试
上来就申请了无障碍权限

授予后加载进度条无法进行任何返回操作 并申请了许多敏感权限
软件运行之后 打开与卸载相关的界面时会自己退出


废话不多说，打开MT管理器进行分析

反编译axml发现许多权限

表面上看起来软件有360加固
打开dex文件后发现是开源的加固再塞特征
如图

进行脱壳后我打开脱壳后的dex

我在入口类没有发现什么有用的东西
于是我换了一种思路 上文提到进入卸载相关界面就会退出 所以我进行常量搜索卸载 还真让我搜到了 如图

那就好办了 咱们打开再转java进行分析
发现软件有许多类名黑名单 文字黑名单 包名
如下图



分析后发现 这里就是它防止卸载的地方
再搜索设置 逐个分析 也找到了更改名称和图标的地方

这里只拿一个举例
再搜索那个进度条页面的请勿操作

发现了背景颜色 我改成透明看看他在干什么
果然不出我所料 给了一大堆权限
这段代码下面还有一个伪装成锁屏界面的代码
条件是开启了锁屏密码
之后有一个假的锁屏页面


回到axml，声明了这个权限android.permission.CAPTURE_VIDEO_OUTPUT
用来展示受保护的内容
这被恶意软件拿到之后那后果不堪设想
盗刷银行卡等等情况可能会发生
所以各位网友上网下载app要注意辨别真假
这次我的分析就到这里
有需要样本的可以私信我

zskj2736472509

大佬勿喷

机器猫666

看看隐藏

zskj2736472509

哪里有不对的地方，请大佬们多多指正

Xtne

看看

shiwoya

什么样的

夜兮

看看隐藏

练习时长两年半的水怪

看看隐藏

yyfyyf

看看隐藏

hypoxia

看看隐藏

snak2020

感谢分享

lds

看看隐藏

缘遇

看看

fengshi073

感觉要无障碍就不安全了吧

JeTeeZnTmax

看看