手機版“功夫熊貓”病毒襲卷Android
cnbeta 發(fā)表于：12年03月01日 14:32 [轉(zhuǎn)載] DOIT.com.cn
功夫病毒可能是2012年最為活躍的病毒家族了，截止目前，這支病毒已經(jīng)發(fā)展了超過5種以上的變種，使用的引導、隱藏和免殺技術也在日新月異的發(fā)展變化，當之無愧的成為目前技術最為先進、傳播最為廣泛的流行Android病毒。
2月24日，LBE小組首先攔截到了功夫病毒的最新變種Trojan/Android.KungFu.aa，我們稱之為功夫熊貓病毒。功夫熊貓具備傳統(tǒng)功夫病毒的一切特征，包括：修改系統(tǒng)分區(qū)嵌入至ROM、感染后無法查殺，甚至回復出廠設置也無法解決的同時加強了自我保護和隱藏的功能，并且能夠干擾部分安全軟件(包括LBE安全大師等)正常運行，是目前為止危險性最高的流行病毒。
病毒分析
功夫熊貓病毒會將自己偽裝成合法的軟件，通過第三方市場和論壇進行傳播
為了解決簽名不一致導致升級失敗無法安裝的問題，病毒作者特意修改了包名，避免了病毒無法安裝的問題。
LBE小組攔截到的功夫熊貓病毒樣本并未攜帶自動提權代碼，因此需要用戶手機ROOT之后才會被感染。由于部分軟件自身需要ROOT權限，所以一般用戶很難分辨自己安裝的是正常軟件，還是惡意軟件，從而導致感染病毒。
當病毒的提權部分代碼被觸發(fā)之后，便會執(zhí)行以下操作：
將系統(tǒng)分區(qū)設置為可寫
將自身復制到系統(tǒng)分區(qū)內(nèi)/system/lib/libd1.so
將/system/bin下的多個關鍵系統(tǒng)組件備份至/system/framework下，并且使用病毒代碼覆蓋原始系統(tǒng)組件
修改多個系統(tǒng)引導腳本，確保自身在系統(tǒng)引導之前加載
當病毒本體執(zhí)行時，會執(zhí)行以下操作：
將自己設置為后臺daemon，避免被終止;并將自己偽裝為system_server，實現(xiàn)進程自我保護，并且干擾部分安全軟件的正常運行。
監(jiān)控被自身修改的系統(tǒng)引導腳本的內(nèi)容，如果發(fā)現(xiàn)有任何軟件嘗試修改和替換系統(tǒng)引導腳本，都會自動將內(nèi)容還原。
聯(lián)絡遠程控制端，獲取攻擊指令。功夫熊貓病毒使用了不同的控制端域名(ad.pandanew.com)，這也是其得名的原因。
截止到發(fā)稿為止，功夫熊貓的控制端并未開始下發(fā)任何攻擊指令，我們認為病毒團隊仍然在對控制端進行調(diào)試，以及收集受感染的機型數(shù)據(jù)。但是對于功夫熊貓的逆向分析顯示，其包含了功夫病毒的所有功能，包括靜默安裝、卸載軟件;靜默執(zhí)行軟件;設置瀏覽器首頁和收藏夾等。
與先前版本的功夫病毒不同，功夫熊貓病毒使用了幾乎完全不同的加載、隱藏和自我保護方式。由于病毒會設法使自己先于Android系統(tǒng)加載，使得任何現(xiàn)有的安全軟件對其都束手無策。
免疫和清除方式
截止到發(fā)稿為止，目前僅有LBE安全大師能夠識別功夫熊貓病毒。LBE安全大師的用戶需要將病毒庫在線更新至20120224.d版本即可;如果無法在線更新，也可以選擇前往LBE官方網(wǎng)站下載最新的3.2.1750版。如果您使用其他軟件軟件，請等待廠商的更新。
對于不幸中招的用戶，由于病毒已經(jīng)修改了相當多的系統(tǒng)文件，并且具備相當強的自我保護能力，手工清理幾乎不可能完成。我們推薦您使用功夫熊貓專殺工具，您可以登錄LBE小組官方主頁下載安裝。功夫熊貓專殺工具內(nèi)置了最新版本的安天查殺引擎，能夠檢測和識別帶毒惡意軟件，同時也能夠?qū)⒉《拘薷牡南到y(tǒng)文件徹底還原。
結語
在Android病毒日漸泛濫的今天，我們建議您：只通過安全的途徑下載使用軟件，不安裝來歷不明的軟件(謹慎安裝各種漢化版、破解版軟件)，使用一款安全軟件，通過以上途徑來保護您手機的安全。
