【Android病毒分析报告】 - ZooTiger “集恶意推广、隐私窃取、恶意吸费于一体”...
本文章由Jack_Jia编写，转载请注明出处。
文章链接：http://blog.csdn.net/jiazhijun/article/details/11772379
作者：Jack_Jia 邮箱：309zhijun@163.com
近期百度安全实验室发现一款ZooTiger新病毒，该病毒集吸费、隐私窃取、恶意推广功能与一身，该病毒目前已感染大批第三方应用市场内的“功夫熊猫3”、“小猪爱打架”等大批流行游戏。该病毒集多种恶意行为于一身，堪称Android病毒的“功夫熊猫”。
目前该病毒样本在各市场已有10万以上的下载量，以下是某第三方市场样本截图：
该病毒启动后，后台偷偷访问远端服务器获取指令，并根据服务器端指令完成以下恶意行为：
恶意推广方面：
1、后台自动下载应用提示安装。
2、插入广告短信到您的短信收件箱。
3、打开指定的应用。
4、打开浏览器访问指定网页。
隐私窃取方面：
1、上传您的联系人信息到服务器。
恶意吸费方面：
1、后台私自发送短信订阅付费服务。
2、通过WAP订阅扣费服务并自动完成扣费流程。
目前该病毒的远端指令服务器有以下几个，客户端随机选择指令服务器获取指令：
http://sdk.gmdrm.com/sdk/{ actiontype}
http://sdk.meply.net/sdk/{ actiontype}
http://sdk.lvply.com/sdk/{ actiontype}
http://sdk.plygm.com/sdk/{ actiontype}
http://sdk.ilvgm.com/sdk/{ actiontype}
下面对该病毒样本进行简单分析：
样本MD5 ：a783fbcfc82db8912475f11184b27a59
应用包名：com.play.kfpanda
恶意代码结构树：
（披了一层貌似SDK的外衣）
1、首先该病毒在AndroidManifest.xml文件注册大量系统频发广播，以便恶意组件能够顺利运行。
3、当zoo.tiger.sdk.core.StateReceiver接收到开机、网络连接变化等系统广播后启动CoreService和PayService两个关键服务。
4、CoreService服务完成以下恶意行为：
后台自动下载应用提示安装。
插入广告短信到您的短信收件箱。
打开指定的应用，通过浏览器访问指定网页。
上传您的联系人信息到服务器
5、PayService服务完成以下吸费恶意行为
通过SMS订阅SP服务、WAP访问扣费服务
