今日一款名為“蝗蟲”的手機木馬瘋狂肆虐。360手機安全中心接到大量反饋，稱手機瘋狂向通訊錄聯(lián)系人群發(fā)短信，誘騙對方下載名為“XX神器”的手機應(yīng)用，且在短信中直呼姓名極具迷惑性，一旦有人中招，木馬將會再次瘋狂傳播。360手機安全中心在7月28日率先捕獲該木馬樣本后，監(jiān)測到8月2日出現(xiàn)爆發(fā)式傳播態(tài)勢。目前360手機衛(wèi)士已在國內(nèi)首家查殺該木馬，建議手機用戶收到類似短信不點擊不安裝，并確保手機開啟360手機衛(wèi)士的實時防護功能，阻止“蝗蟲”木馬感染手機。
圖1：蝗蟲木馬會群發(fā)詐騙短信，同時誘騙中招手機用戶填寫隱私信息
360手機安全專家分析發(fā)現(xiàn)，蝗蟲木馬主要存在以下五大主要危害：
1、群發(fā)詐騙短信。手機一旦中招，蝗蟲木馬會讀取手機通訊錄中的聯(lián)系人列表，并向所有聯(lián)系人群發(fā)包括木馬下載地址的欺詐短信，極具擴散能力。短信中會顯示短信接受者的姓名，極具迷惑性：“(聯(lián)系人姓名)看這個，‘cdn.yyupload.com/***.apk’”。
2、竊取隱私信息。“XX神器”打開后，會要求用戶填寫用戶名、密碼、姓名及身份證號等隱私信息，提交后會發(fā)到一個指定的手機號碼上。
3、可偽造或刪除任何短信內(nèi)容。
4、會轉(zhuǎn)發(fā)手機中所有短信到指定的手機號碼。
5、得到黑客遠程指令后，可發(fā)送所有聯(lián)系人信息到指定郵箱。
研究發(fā)現(xiàn)，“XX神器”安裝時會同時釋放具備更多惡意行為的惡意子包，惡意子包一旦安裝，會將圖標隱藏，即使刪除了“XX神器”，木馬依然可以作惡。
圖2：360手機衛(wèi)士可徹底清除“蝗蟲”木馬
360手機安全專家萬仁國通過木馬樣本代碼分析發(fā)現(xiàn)，代碼中出現(xiàn)的手機號(同時也是微信號)及QQ號碼為中南大學(xué)的一李姓學(xué)生所有。信息顯示，該木馬從8月2日早上8點開始呈現(xiàn)瘋狂肆虐的態(tài)勢，8月2日同時也是“七夕”，“XX神器”很有可能借節(jié)日瘋狂傳播。專家緊急提醒廣大安卓手機用戶，如果收到帶有下載鏈接的短信，千萬不要點擊和安裝。如果手機已中招，盡快為手機安裝360手機衛(wèi)士安全軟件查殺，并盡快通知并通訊錄好友，防止中招和擴散。（
媒體報道：
據(jù)公安部治安管理局官方微博“公安部打四黑除四害”消息，8月2日凌晨1時，深圳網(wǎng)警陸續(xù)接報群眾手機感染“XX神器”木馬病毒的警情，立即聯(lián)合羅湖分局成立專案組開展偵查，后又接到山東濰坊、四川成都等地網(wǎng)警部門案情通報，經(jīng)過17個小時的通宵奮戰(zhàn)，于8月2日18時抓獲制作傳播該病毒的犯罪嫌疑人李某。目前，該案正在進一步偵查中。
據(jù)媒體報道，昨日一大早，家住北京海淀區(qū)牡丹園東里的陳先生手機短信接二連三地收到不同親友發(fā)的奇怪短信，短信內(nèi)容都還明確寫明了陳先生的名字，并附有一個鏈接地址。好奇的陳先生一點開鏈接，就下載了一個名為“XXshenqi”的應(yīng)用軟件，隨后，在陳先生不知情的情況下，這個軟件又開始向他手機通訊錄中的聯(lián)系人群發(fā)同樣的短信。就在陳先生郁悶的時候，他的手機又收到當初發(fā)給他短信的朋友來信，稱剛剛發(fā)送的短信是病毒，讓陳先生切勿點擊。
全國不少地區(qū)的手機用戶昨日一早都收到了這樣的病毒短信：““XXX(機主姓名)看這個，ht://********XXshenqi.apk”。截至昨日下午，全國不少省市警方的官方微博都開始發(fā)布防范提醒，提醒網(wǎng)友遇到此類短信切勿點擊下載。而“首都網(wǎng)警”、“廣州從化公安”、“濰坊網(wǎng)警”、“新華社中國網(wǎng)事”、“中國移動10086官方微博”等微博也都已發(fā)布了相關(guān)提醒：這是手機病毒，點擊后會下載惡意軟件，竊取手機通訊錄，并群發(fā)病毒短信！
有網(wǎng)友稱，該安裝包最先起源于一些低端視頻網(wǎng)站的看片神器，但截至目前此說法也未得到官方證實。
媒體報道稱，據(jù)一線網(wǎng)警表示，這條短信是一個典型的病毒短信。首先，該短信中的鏈接使用CDN為開頭，以APK為結(jié)尾，熟悉手機軟件的專業(yè)人士一眼就能看出這個鏈接是一個不安全的下載軟件。網(wǎng)警解釋說，CDN是內(nèi)容分發(fā)網(wǎng)絡(luò)，通俗地說就是一個資源管理中心，很多的資源都上傳到這里，用戶可以在這里下載。APK就是安卓系統(tǒng)的安裝包，相當于windows中的exe文件，所以這個病毒只會對安卓手機產(chǎn)生影響。
蝗蟲手機木馬查殺分析報告：
一、主包分析
包名：com.example.xxshenqi
應(yīng)用名：XX神器
MD5：5956C29CE2E17F49A71AC8526DD9CDE3
主要惡意行為：遍歷聯(lián)系人后群發(fā)短信，使惡意木馬再次擴散傳播；偽造釣魚頁面，誘騙用戶注冊填寫個人信息，導(dǎo)致隱私泄露；安裝惡意子包。
權(quán)限：
程序入口
點擊應(yīng)用圖標啟動
遍歷手機中的通訊錄，獲得聯(lián)系人姓名及號碼，并向這些號碼發(fā)送內(nèi)容為“【聯(lián)系人】看這個http://cdn.yyupload.com/down/4279193/XXshenqi.apk”的短信。
短信發(fā)送完成后，向指定號碼發(fā)送內(nèi)容為“XXshenqi 群發(fā)鏈接OK”的短信。
注冊接收“android.intent.action.PACKAGE_ADDED”廣播的receiver，用于檢測子包是否安裝。
檢測子包是否已經(jīng)安裝，如果沒有安裝，則將子包apk從主包的assets目錄中釋放到/data/data/com.example.xxshenqi/files，以便下一步安裝。
顯示提示框，引導(dǎo)用戶安裝子包。
子包安裝后會，系統(tǒng)會發(fā)出“android.intent.action.PACKAGE_ADDED”廣播，這個廣播會被之前注冊的receiver接收到。
收到廣播后，會啟動已安裝的子包，并向指定號碼發(fā)送內(nèi)容為“new Tro instanll Ok”的短信。
進入程序的主界面
登錄頁面的處理：
檢查是否安裝了子包，如果沒有安裝子包則彈框引導(dǎo)用戶安裝。
檢查網(wǎng)絡(luò)是否通暢，如果網(wǎng)絡(luò)異常則提示用戶檢查網(wǎng)絡(luò)。
密碼大于等于6位會提示“正在驗證，請稍候”，“密碼或賬號不存在！”
其他情況下提示“請輸入正確的賬號或密碼”
賬戶永遠不可能登錄成功！
點擊注冊功能，顯示一個釣魚頁面，誘導(dǎo)用戶輸入個人信息。
注冊程序?qū)τ脩糨斎氲纳矸葑C號碼做了一些簡單的校驗，例如：年份在1980至1996之間、月份的十位小于個位、日期在1至31之間、不符合條件的身份證號碼不能通過驗證。最后將獲得個人信息（姓名和身份證號碼）以短信形式發(fā)送至指定號碼，并提示用戶注冊成功。
至此，主包功能結(jié)束
二、子包分析
包名：com.example.com.android.trogoogle
應(yīng)用名：com.android.Trogoogle
MD5：b0dea6906329c47edbecd48adc15a996
主要惡意行為：啟動后隱藏圖標、通過短信指令控制，可實現(xiàn)竊取用戶收到的短信信息、發(fā)送的短信信息、聯(lián)系人信息、偽造和刪除短信。
惡意子包在第一次啟動后圖標消失，之后的觸發(fā)可以通過短信接收廣播和開機自啟廣告啟動，
通過開機自啟動后，會直接進入SEND查詢模式，隨后進入RECV查詢模式，當接受到短信時進入RECV查詢模式。
SEND查詢模式
進入SEND模式后直接將用戶后續(xù)會發(fā)送的短信內(nèi)容，通過短信的方式轉(zhuǎn)發(fā)到指定號碼。
RECV查詢模式
進入RECV模式后，惡意子包接收短信指令，竊取用戶短信信息，聯(lián)系人信息，以及偽造短信。
對中招手機發(fā)送sendlink命令，會將聯(lián)系人信息通過郵件的方式轉(zhuǎn)發(fā)到指定郵箱。
對中招手機發(fā)送readmessage命令，把手機中所有的短信通過郵件的方式轉(zhuǎn)發(fā)到指定郵箱。
通過郵件將聯(lián)系人或短信發(fā)送到指定郵箱。
對中招手機發(fā)送sendmessage命令，會將后續(xù)收到的短信通過短信的方式轉(zhuǎn)發(fā)到指定號碼。
會對非11位的發(fā)件號碼做特殊處理，如果中招手機接收到的短信的發(fā)送號碼不是11位，木馬作者認為可能是淘寶信息，在轉(zhuǎn)發(fā)短信的同時，特別注釋為“特殊消息”
對中招手機發(fā)送makemessage命令，接受到指令后會偽造短信信息。
三、解決方案
目前，360手機衛(wèi)士可對蝗蟲木馬進行精準查殺。
下載 
下載 
下載 
下載 
下載 
喜歡 
頂
難過
囧
圍觀
無聊
