【病毒播报】Android.Troj.Kituri.a病毒再次爆发，金山手机卫士完美查杀

dadadadayuan

金山移动安全中心检测到Android.Troj.Kituri.a病毒再次爆发。该病毒通过移动MMarket进行扣费。金山手机卫士可完美查杀。

是否发现手机中会无端被定制了一些业务呢？
自己明明没有定制，却无端被扣费了，都是病毒软件搞的鬼！

赶快用金山手机卫士扫描下，看看你的手机中是否也有这些看似正常却在偷偷吸费的病毒呢？

以下是该病毒的具体工作原理：

该病毒开机后自动运行，私自登录移动MMarket，定制各种软件进行扣费行为。

此病毒捆绑在正常的软件上，从我们发现的样本上来看，多为一些成人类的应用（如成人电子书、美女壁纸等），并通过论坛等非正规渠道传播，很多用户因此中招。

恶意行为分析如下：

1.样本通过注册“android.intent.action.BOOT_COMPLETED”的receiver实现开机启动

2.样本启动10秒后关闭WIFI（必须使用CMWAP/CMNET网络登录移动MM商城才能下载扣费应用）

3.如果联网失败，自动修改APN为CMWAP

4.获取手机号码（该样本并不是通过GetLine1Number获取手机号码，因为可能会失败），样本是通过以下3个步骤获取手机号码

a.上传手机的IMEI到服务器

b.发送短信给另外一个手机号码，内容为手机IMEI（这样服务端收到短信就可以把手机号码与IMEI关联起来）

c.样本再次连接服务器，通过IMEI获取当前手机号码

5.从服务器获取移动MM扣费的详细数据

6.使用刚才获取的手机号码，后台用短信验证码方式登录移动MM商城（此时移动MM商城会给用户以短信方式发送一个登录验证码）

7.拦截MM商城的短信，并获取短信内的登录验证码，获取之后删除短信，让用户毫不知情。

8.使用获取的登录验证码成功登录移动MM商城

9.成功登录移动MM商城后，即可进行点播下载作者预先上传的应用，从而实现获利

样本利用漏洞：移动MM商城第一次登录是不需要图片验证码的，重复登录才需要。样本里也有判断是否出现了图片验证码，出现了就退出。

安装金山手机卫士可彻底清除该病毒，请下载最新版金山手机卫士：快速下载

饭特稀

移动MMarket被用来扣钱倒挺利索

无论是PC还是手机上，色情应用都是木马病毒的衍生地啊

熊猫老湿

lucky王子

   被雷了  还好我安分.....    话说大远啊 能不能建立一个在线检测平台啊!   安全侠虽然专业但是检测不到病毒啊
http://cha.anquanxia.com/         
  

zilye

lucky王子 发表于 2012-5-5 05:19
被雷了  还好我安分.....    话说大远啊 能不能建立一个在线检测平台啊 ...

看不懂你这个......

zilye

啊！！！我记得我有回复滴啊...我滴回复呢？哪里去了？
反正我直接无视这些东西 哈哈

lucky王子

zilye 发表于 2012-5-8 12:25
看不懂你这个......

在线检测平台  你不懂？   你提交给含病毒的包到我给的链接去试试  ！！

范范凯凯

好厉害啊