综述

2019年Q1季度,360安全大脑累计监测到Android Native病毒感染量达354.8万,平均每天新增感染用户3.9万。已曝光的病毒依然活跃,Notify病毒家族来势汹汹,“假面兽”病毒更是拉开了64位AndroidNative病毒蔓延的序幕,安全威胁依然不容忽视。

360安全大脑发现Q1季度Android Native病毒疫情呈现出两大趋势:一是,静态感染技术泛滥,多个病毒均使用了该技术,隐蔽性更强,极大增加了查杀难度;另一个需要特别关注的是,多个已曝光的病毒开始升级64位,预示未来可能是64位Android Native病毒的高发期。

报告主要从病毒态势、热点病毒事件、趋势及安全建议三个方面阐述了2019年Q1 季度Android Native病毒疫情及未来趋势。

病毒态势

本季度的病毒家族主要以“长老木马”、“寄生灵”、Notify病毒为主,感染量前四的病毒家族如下:

  • “长老木马”家族从2015年发现至今依旧活跃,占比32.3%。该病毒变种极多,最新的变种使用了静态感染技术,通过感染系统运行依赖的库文件,并借助样本MD5自变化、文件路径随机化等手段极大提高了查杀难度。

  • “寄生灵”家族持续高度活跃,占比31.4%,其主要通过广告SDK等方式进行传播,一旦感染,该病毒会立即下载提权文件以获取手机ROOT权限,频繁推送广告,私自发送恶意扣费短信,并注入大量恶意文件到系统底层,防止病毒被卸载。

  • Notify家族近期异常活跃,占比10.5%。该病毒将自身设置为隐藏文件,通过感染libandroid_servers.so系统库文件,注入系统Phone进程,以实现恶意推广等功能。

  • “百脑虫”家族逐渐进入衰减期,但占比仍接近7%。该病毒通过云端加载恶意代码,注入Zygote进程并修改framework,将扣费病毒模块注入到所有APP应用中,等待时机进行恶意扣费。

2019年Q1季度Android Native病毒详细占比情况如下图所示。“长老木马”、“寄生灵”两大家族包揽前两名,二者总占比甚至超过了本季度AndroidNative病毒感染量的60%,并且两大家族都在持续更新。

感染量方面,1月的感染量最大,感染量高达126.5万;2月相比1月,感染量减少0.8万,差值较小;3月相比2月,感染量下降较为显著,降比达18.4%,Q1季度的病毒感染量总体上呈下降趋势,具体如下图所示。

热点事件

新型Android间谍平台

近期,国外SecurityWithout Borders安全研究团队披露了新的Android间谍软件平台Exodus,360安全大脑对该报告中涉及的AndroidNative病毒进行了跟踪分析,及时支持对该病毒的专项查杀。

Exodus间谍软件会伪装成移动运营商的服务应用程序,其配备了强大的信息收集和拦截功能(如私自使用麦克风录音、提取通话记录等),并上传上述信息到C&C服务器。更可怕的是,该软件没有任何形式的身份验证,所有与受感染设备共享同一网络的人都可以访问这些数据,因而面临着数据泄露、数据被篡改的风险。

其次,该软件还利用脏牛(DirtyCow)漏洞获取手机ROOT权限,可远程强制执行某些命令,可能会使受感染设备遭受进一步损害。

静态感染技术被滥用

静态感染技术,是指将恶意代码插入到系统运行所依赖的库文件中,使得恶意文件随系统库文件的加载而启动。由于该种启动方式更为隐蔽,继“蜥蜴之尾”病毒在移动安全领域首次使用静态感染技术后,该项技术逐渐流行起来,并被病毒滥用。

例如,近期异常活跃的Notify病毒也使用了此技术,只是感染了不同的系统库文件。

另外,静态感染技术并非32位病毒所特有,64位AndroidNative病毒世界中同样存在。64位长老木马病毒就是个好例子,其通过感染系统进程启动时所依赖的liblog.so库文件,并在该库文件的导入表中添加恶意launcher的路径,使守护进程随系统启动以执行launcher的恶意代码。

64位Android Native病毒开始蔓延

随着Android手机性能的逐步升级,以及Google要求App同时兼容64位库的背景下,预期未来兼容64位可能成为一种趋势,在近期爆发的64位Android Native病毒上便有所体现。

360安全大脑近期披露的“假面兽”病毒,更是拉开了64位Android Native病毒蔓延的序幕,其通过伪装热门小游戏、伪装系统软件、色情应用,依靠ROOT提权、HOOK注入等多种技术手段,进行恶意推广、篡改系统文件、非法牟利。

特别需要注意的是,360安全大脑近期发现:寄生灵病毒也有了新的64位变种。

总结

Android Native病毒大多综合了多种技术,具有较强的隐蔽性,静态感染技术的泛滥对Android用户手机安全造成了更大威胁。ROOT提权漏洞仍是病毒实现所有恶意功能最为关键的一环,及时安装Google或手机厂商发布的安全更新补丁是一个行之有效的办法。

此外,多个已曝光的病毒升级64位,预示未来可能是64位AndroidNative病毒的高发期,360安全大脑保持对Android Native病毒动态的密切关注,并已支持上述病毒的全面一键查杀,如果您担心手机中毒,请及时使用360手机卫士或360手机急救箱进行全面检测。

结合2019年Q1季度Android Native病毒疫情及未来趋势,为了确保您的个人隐私、财产安全,360安全大脑给出六条建议:

  1. 预防为主:保持手机定期查杀、更新病毒库的好习惯;

  2. 通过正规手机应用市场下载安装APPAndroidNative病毒常伪装热门游戏应用、工具软件进行传播,种类繁多,令人防不胜防,通过正规手机应用市场下载安装APP能有效避免中招;

  3. 健康上网:色字头上一把刀,色情应用一直是AndroidNative病毒的重灾区,大家切勿抱有侥幸心理;

  4. 警惕广告弹窗:诱惑性的广告弹窗也是AndroidNative病毒的常用伎俩,对于来历不明的广告弹窗一定要格外警惕,切勿随意点击;

  5. 使用厂商官方ROM:第三方ROM刷机包也是AndroidNative病毒传播渠道之一,市面上的ROM包五花八门,因此切记不要随意下载刷入安全性未知的第三方ROM;

  6. 安装系统更新补丁:安装系统更新补丁可有效降低漏洞利用风险。

声明:本文来自360核心安全,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。