本
文
摘
要
伪装成抖音国际版Tiktok的短信蠕虫
概述：
近期安全员监测到一款仿冒Tiktok的短信蠕虫，该短信蠕虫最明显的特点就是针对Android系统版本高于6.0以上的设备，由于Android版本的更新迭代，现在大部分设备已经更新到较高的版本，通过不完全统计，Android系统版本6.0以上的设备已经超过了80%，这也促使恶意程序要适配更高版本的设备，因此该仿冒Tiktok的短信蠕虫如果传播开，可以覆盖更大面积的设备。
应用首次运行检测并申请大量敏感权限，如果未能授予权限，则重复申请，直至申请敏感权限成功，进而开启恶意服务器获取通讯录联系人，并遍历联系人发送指定短信内容，短信包容包含该类恶意程序，程序正常进入后，则是通过大量广告谋取利益。
伪装成抖音国际版Tiktok的短信蠕虫
图1 样本运行流程图
程序名称Tiktok Pro程序包名com.benstokes.pathakschook程序MD5B028D2A6FA96FB493991700F5B0410D3签名信息C=debugging签名MD5C13F92D0397DA7423A4142BFA9A5873E图标
伪装成抖音国际版Tiktok的短信蠕虫
程序名称TikTok程序包名com.ss.android.ugc.trill程序MD578ACEACF4BB02D19174A2801F32257EC签名信息CN=Micro Cao, OU=ByteDance, O=ByteDance, L=Beijing, ST=Beijing, C=CN签名MD5AEA615AB910015038F73C47E45D21466图标
伪装成抖音国际版Tiktok的短信蠕虫
程序启动后首先判断通讯录、短信、定位等敏感权限是否打开，未打开则一一动态申请，权限开启后，程序启动恶意服务，后台私自获取用户通讯录联系人，接着遍历所有联系人并发送指定的短信内容，短信内容即为提醒用户更新最新版Tiktok，并附有链接，实则下载该恶意程序，程序主要通过广告盈利，即通过该恶意蠕虫，一传十，十传百，从而让更多人的手机成为肉鸡，来浏览设定好的广告并谋取利益。
程序启动判断是否开启敏感权限，如果开启，则启动恶意服务，后台获取通讯录联系人，群发包含该恶意程序的短信。
伪装成抖音国际版Tiktok的短信蠕虫
图2 程序启动初始化
启动时申请的权限：
伪装成抖音国际版Tiktok的短信蠕虫
伪装成抖音国际版Tiktok的短信蠕虫
伪装成抖音国际版Tiktok的短信蠕虫
图3 程序初始化申请的权限
程序虽然设置了登录界面，但是用户输入的账户密码并未上传，这也说明了该程序的最终目的就是通过广告盈利。
伪装成抖音国际版Tiktok的短信蠕虫
伪装成抖音国际版Tiktok的短信蠕虫
伪装成抖音国际版Tiktok的短信蠕虫
图4 通过更真实的界面伪装自己
恶意服务开启后，后台获取去通讯录联系人，遍历通讯录联系人发送指定短信，短信中包含该恶意程序链接。
获取通讯录联系人：
伪装成抖音国际版Tiktok的短信蠕虫
图5 获取通讯录联系人
筛选后将通讯录联系人保存在数组中备用：
伪装成抖音国际版Tiktok的短信蠕虫
遍历通讯录联系人发送指定短信内容：
伪装成抖音国际版Tiktok的短信蠕虫
伪装成抖音国际版Tiktok的短信蠕虫
图6 遍历联系人准备发送短信
解密要发送的短信内容：
伪装成抖音国际版Tiktok的短信蠕虫
伪装成抖音国际版Tiktok的短信蠕虫
图7 发送带有恶意程序链接的传播短信
解密后字符串：
Enjoy Tiktok Videos and also make CreativeVideos again. Now Tiktok is only Available in (Tiktok pro) SoDownload from below.
Link: http://t***.cc/Tiktok pro
伪装成抖音国际版Tiktok的短信蠕虫
图8 待发送短信截图
下载应用详细信息：
程序名称Tiktok ProMD5EDB563FDCAB0AB0580FDEEFAD6FFF9AD包名com.benstokes.pathakschook所有者C=debugging证书MD5C13F92D0397DA7423A4142BFA9A5873E图标
伪装成抖音国际版Tiktok的短信蠕虫
程序包含applovin和google广告，程序主要目的就是通过群发短信，让更多的人安装盗版的Tiktok，进而通过内置的广告获利：
广告模块：
伪装成抖音国际版Tiktok的短信蠕虫
图9 程序嵌入的广告模块
AppLovin广告模块：
伪装成抖音国际版Tiktok的短信蠕虫
伪装成抖音国际版Tiktok的短信蠕虫
伪装成抖音国际版Tiktok的短信蠕虫
图10 AppLovin广告模块
短信包含地址：http://t***.cc/Tiktokpro
短地址域名：t***.cc
域名对应IP:157.***.***.153 美国纽约州 纽约
伪装成抖音国际版Tiktok的短信蠕虫
真实下载地址：https://raw.gi******http://nt.com/newtiktokpro/login/master/Tiktok%20pro.apk。
下载地址域名：raw.gi******http://nt.com。
域名对应IP：151.***.**.133 美国。
伪装成抖音国际版Tiktok的短信蠕虫
6FAA034AB2F1154825A50897A2ACE54FBE87B3C1
324005D7DC633F89EA6108FA072B6C83F3EAF4FC
CFE7DCE6C4039FE709091703D2C1EE8071564999
11CD5C4C5F37D80A9DD3BBF6B1CB532F6C58370D
BAB55B26C840F0FA233E36A6C966EFBF4BA64E74
A0D4F9D00FDB903DCAD27E0A07623571CF2FDF54
25E27DB61F2E0C035CB4E16FA0D75002E7F07E26
DE72D4A582D4872168E6F4AD4DD03EC6E544B243
F8996B8DA8C4FA4084757FF171FE886E50015B84
CE62651512A26324CB50CF731B2D5A0BFEFA9B8F
t***.cc
raw.gi******http://nt.com
本文由暗影安全实验室原创发布转载，请参考转载声明，注明出处： https://www.anquanke.com/post/id/212758
安界网周年庆
