Clicker木馬新家族中的Haken木馬是怎樣的

這篇文章將為大家詳細講解有關Clicker木馬新家族中的Haken木馬是怎樣的，文章內容質量較高，因此小編分享給大家做個參考，希望大家閱讀完這篇文章后對相關知識有一定的了解。

一、概述

Clicker木馬是廣泛的惡意程序，旨在提高網站訪問率在線賺錢。它們通過單擊鏈接和其他交互式元素來模擬網頁上的用戶操作，實現無聲地模擬與廣告網站的交互，自動訂閱付費服務。該木馬是一個惡意模塊，它內置于普通應用程序中，例如字典，在線地圖，音頻播放器，條形碼掃描儀和其他軟件。

最近暗影實驗室在Google Play上發現了一個新的Clicker惡意軟件家族Haken木馬。該應用是一款提供位置方向服務的應用。與利用不可見Web視圖的創建和加載來執行惡意點擊功能的Clicker木馬和Joker木馬不同,Haken木馬通過將本機代碼注入Facebook和Google廣告SDK的庫中來實現模擬用戶點擊廣告功能。通過點擊廣告來提高網站訪問量賺取錢財。

圖1-1Google Play上應用信息

用戶抱怨該應用會彈廣告，建議謹慎下載。

圖1-2 用戶對該應用的評論

二、技術分析

該程序的第一個入口是BaseReceiver廣播接收器。其中注冊了許多action，使該廣播很容易被觸發。

圖2-1 注冊BaseReceiver廣播

在該接收器內加載了lib庫文件。通過在native層的startTicks函數調用本地com / google / android / gms / internal / JHandler”類中的“clm”方式。

圖2-2 加載庫文件反射調用本地方法

此方法中注冊了兩個工作線程和一個計時器。其中wdt線程與C＆C服務器通信獲取最新配置信息。而w線程由定時器觸發用于檢查配置信息并將代碼注入到廣告SDK（如Google的AdMob和Facebook）的與廣告相關的Activity類中。

圖2-3 注冊兩個工作線程

工作線程一：

在wdt線程中與服務器交互獲取最新配置信息。服務器地址被編碼：http://13.***.34.16。

圖2-4 服務器交互

服務器下發的配置信息，其中包括用于更新服務器交互的地址。

圖2-5 從服務器獲取配置信息

工作線程二：

w線程在設備已聯網且應用已定時啟動60000ms的情況下，啟動活動。通過生成在1-4間的隨機數匹配到啟動哪個活動，這四個活動用于將代碼注入到Facebook和Google廣告類中，實現加載廣告并模擬點擊廣告。

圖2-6 注入Facebook和Google

圖2-7 加載廣告

模擬用戶點擊，點擊從廣告SDK中接收到的廣告，這些功能都是通過反射機制實現的。

圖2-8點擊從廣告SDK中接收到的廣告

服務器后臺：

我們通過于應用與服務器交互的地址進入到該應用的服務器后臺，發現該應用的開發者使用XAMPP平臺搭建了個人網站和服務器。

圖2-9 Haken木馬個人網站

服務器后臺包含2個js文件。Js文件用于代碼的注入實現模擬點擊功能。

圖2-10 Haken木馬服務器后臺

三、樣本信息

四、情報擴展

“Joker”惡意軟件家族最早于2019年9月在Google Play上被發現，暗影實驗室在2019年9月28號通過反間諜之旅—模擬訂閱高級服務一文向用戶發出風險預示。

該惡意軟件被用來向用戶訂閱高級服務，無聲地模擬與廣告網站的自動交互包括模擬點擊和輸入高級服務訂閱的授權代碼。在過去幾個月中Joker不斷出現在Google Play商店中。

我們最近在Google Play上發現了另外四個Joker樣本，已下載130,000+次。以下為樣本信息。

關于Clicker木馬新家族中的Haken木馬是怎樣的就分享到這里了，希望以上內容可以對大家有一定的幫助，可以學到更多知識。如果覺得文章不錯，可以把它分享出去讓更多的人看到。