对一个伪装成微信的加固病毒的分析

前不久，网上爆出一个伪装成微信的病毒，好久木有分析病毒了，于是拿来练下手。

该病毒安装后的图标如下图所示：

                       

打开该应用后，会提示激活管理员器：

 

激活后要求用户添加银行卡信息，包括姓名，身份证号，手机号等。

 

另外，我们通过AndroidManifest.xml文件发现其包名为：

 

通过以上信息我们基本上就可以猜测该伪装应用就是一个窃取用户银行账号及相关信息的病毒了。

反编译该apk，发现该病毒被加固了。看到com.secapk.wrapper.ApplicationWrapper这个类基本就可以确定是用的“梆梆”加固了。

 

还好，网上有脱壳程序，果断脱之：

 

将得到的odex文件反编译成smali文件，再回编译成dex文件（回编译过程中如果出现错误，注释掉错误部分就行了）。继续转成jar文件查看，这下牛鬼蛇神全出来了：

下面我们来进行详细的分析。该app注册了两个广播接收器，其中第一个是用来注册设备管理器的。第二个广播接收器用来监听系统开机启动、短信接收、应用安装卸载等事件。

 

 

当监听到有应用被卸载的时候，就会发送邮件。发送的内容包括用户手机号码、语音信箱号码、设备ID、IMEI、IMSI、网络运营商名称等等隐私信息。

 

如果监听到短信接收广播，则会拦截此短信，同时获取短信发送者、短信内容和短信接收时间以邮件形式发送给攻击者。发送邮件的地址为：lanjiema@126.com，密码为admin903。接收邮件的地址为：12114860@qq.com。