安全机构check point最近发布了一份非常详细的报告，谈到一款名为hummingbad的android恶意程序。
它在行为方式上和先前一些相当霸道的android恶意程序类似，不过它有几大亮点：其一背后操纵者来自中国重庆（注意下面还有地址哦…）；其二其感染范围极为广泛，估计已经感染了8500万台设备。
hummingbad的实例增长
hummingbad幕后团队大曝光
check point在报告中将这款android恶意程序称作hummingbad。这款恶意程序的作者是国内的一家广告公司，名叫微赢互动（yingmob！这下火了！）。
check point在报告中毫不留情地揭露了这家公司的一些细节信息。
连工位都有啊！
据说微赢互动内部还是有好几个团队在开发合法追踪和广告平台的，而负责开发像hummingbad这样恶意产品的团队名为“海外平台开发团队”，这个团队内部有4个小组，共25名成员。
该团队有三个开发项目，分别是eomobi（就是hummingbad恶意组件产品）、hummer offers（广告服务器分析平台）、hummer启动器（这实际上是个广告服务android应用开发包），共开发6条产品线：
1、ebomi
2、hummer启动器
3、root软件开发套装（sdk）
4、hummer offers
5、mat
6、unitemobi
这家公司其实算不上恶意程序的新人。早在2015年的时候，palo alto曾经发布过一款ios恶意程序yispecter的报告。当时palo alto就认为yispecter应该与微赢互动有关，因为这款恶意程序签名就是微赢企业证书。
check point这次的报告则提到hummingbad和yispecter相比，有着相同的c&c服务器地址，行为方式也很相似。另外hummingbad内部还包含qvod快播文档（check point直接将之称作ios色情播放器，泪奔…），这其实跟yispecter也有关联。
hummingbad的目标当然是赚钱！
checkpoint估计，hummingbad每天都会推2000万广告内容，其点击率大约为12.5%，也就是说每天的广告点击量约为250万次。此外，hummingbad每天还安装超过50000个欺诈应用。
估计微赢互动每天光从广告点击就能获取超过3000美元的收益，而诈骗应用的安装则能获取7500美元/天。换算下来一个月就是30万美元，一年则为360万美元。
当前hummingbad已经感染了8500万台android设备。不止于此，由于这款恶意程序会非法对android设备进行root操作，实现各类恶意程序的推送，这些设备几乎就是被彻底掌控的。
这些设备上的数据风险自不必多说，将它们组成僵尸网络，发起攻击，或者将这些访问权限卖到黑市，都全然不在话下。
微赢互动用他们自家的umeng服务来追踪hummingbad的感染情况（专业！）。从umeng的控制面板来看，这家公司“注册”了近200款应用，预计其中25%都是恶意程序，用于分发hummingbad恶意程序。
上面这张图也来自umeng的统计，从去年8月份开始，其活跃性成长表现还是相当不错的。
从hummingbad当前影响的国家地区来看，这款恶意程序当前应该算是个跨国恶意程序，虽然主要感染地区还是在中国和印度，其他各国的感染数量也是相当可观的。
恶意行为分析
这次的报告中提到，hummingbad首次感染方法应该是隐藏下载攻击（drive-by download），部分成人内容站点也提供了相应的恶意payload。
而hummingbad本身包含了两个主要组成部分，其中一个组件负责对android设备进行root操作，rootkit会考虑利用多种不同的漏洞。root成功后，攻击者就能完全获取设备的访问权限。
如果root失败，第二套组件就会生成一个欺骗性的系统升级通知，欺骗用户让hummingbad获取系统级权限（root还是关键呀！）。
无论root是否成功，hummingbad都会尽可能下载大量欺诈应用。
模拟点击的代码
整套hummingbad包含好几个恶意组件。首要的组件名为ssp，其作用是显示非法广告、安装欺诈应用。
该组件通过4个事件触发：设备启动、屏幕开启/关闭、设备连接任意变化、用户检测（听说过android系统中的receiver吗？这类行为其实是完全合法的）。
触发过后，ssp开启名为se的服务，初始化恶意逻辑，并且开启广告网络。ssp还会开启计时器，每10秒钟计划一次locktask，如果满足相应条件（比如互联网连接、从服务器获取到设置，时间延迟等），locktask就会重启se服务，并且启动mainactivity进程，激活恶意payload。
mainactivity进程开始之后，恶意程序会显示广告banner，广告上面会有个关闭按钮。实际上恶意程序会阻止用户回到home页，或者是进行返回操作，这样用户就只能点击该广告了。
用户点击所谓的“关闭”按钮，实际上也是点击一次广告操作。在点击广告之后，ssp组件就会向服务器发出请求，给apk返回一个链接，ssp随后再从服务器下载该apk文件（就是android安装文件嘛）。
那个“关闭”按钮相关代码
apk文件下载完成后，恶意应用会检查设备是否已经root。如果已经root，则默默地安装下载的apk文件；如果没有root的话，ssp会弹出用户对话框，仍旧企图进行安装操作。
下载的apk文件安装完成后，ssp再启动该程序，并且广播install_beferrer，通过从服务器获取到的信息来伪造google play的安装，并从广告网络中获取广告收益（难道这不是仅针对国际用户的么？）。
作为一个合格的恶意程序，肯定还要获取更新、发回报告。ssp会从某json文件检索c&c域名。这里的json文件是从d1qxrv0ap6yf2e.cloudfront[.]net/domain/xxx.json 下载的，值大概是这样的：
·{"id":3,"name":"cap","master":"032o[.]com","slave":"032n[.]com"}
·{"id":4,"name":"ssp&ccsdk","master":"guangbom[.]com","slave":"ssppsspp[.]com"}
·{"id":5,"name":"asdf","master":"asdf","slave":"asdf"} //i think
·{"id":6,"name":"efwe","master":"gwsgs","slave":"dgss"}//it's unused
·{"id":7,"name":"1","master":"1","slave":"1"} //and this
·{"id":8,"name":"cap-dw","master":"ccaa100[.]com","slave":"ccaa200[.]com"}
·{"id":9,"name":"ssp-dw","master":"cscs100[.]com","slave":"cscs200[.]com"}
·{"id":11,"name":"hm-jk","master":"hmapi[.]com","slave":"eoapi[.]com"}
·{"id":12,"name":"易盟-易窗","master":"ma2.heshan88[.]com","slave":"sl2.heshan88[.]com"}
·{"id":13,"name":"易盟-易推","master":"ma2.heshan88[.]com","slave":"sl2.heshan88[.]com"}
·{"id":14,"name":"易盟-启弹","master":"ma2.heshan88[.]com","slave":"sl2.heshan88[.]com"}
·{"id":15,"name":"iadpush","master":"ma2.lb0408[.]com","slave":"sl2.lb0408[.]com"}
·{"id":16,"name":"1mob-fudian","master":"ma2.heshan88[.]com","slave":"sl2.heshan88[.]com"}
·{"id":17,"name":"qs","master":"aa0ad[.]com","slave":"aa0ab[.]com"}
·{"id":18,"name":"1mob-xin（点滴/bdsdk ","master":"ma2.heshan88[.]com","slave":"sl2.heshan88[.]com"}
除此之外，ssp还有一些行为，比如具体的google play进程注入（ssp能够向google play进程注入一个库，恶意程序也就能够伪装google play商店中安装、购买、接受点击操作；这里用到的是比较知名的ptrace，ssp能够用ptrace来调用控制其他应用，读取、写入内存等操作）；还有rightcore恶意组件，其实应该算是ssp的一个早期版本；cap组件采用比较复杂的技术负责安装欺诈应用，实现欺骗imei码注入，执行google play的点击模拟操作等等。
对这些感兴趣的同学可以点击这里，查看check point提供的详情。
在check point看来，微赢互动可能是首个曝光到大众面前、如此高度组织化推恶意程序的团队。
或许这种趋势未来还会持续，引来其他团队的学习，实现复杂攻击的独立化运营，甚至将这样掌控僵尸网络的权限，提供给某些组织或政府机关，情况就更加复杂了。
====================================分割线================================
本文转自d1net（转载）