Android.KungFu手机病毒清理方法

2023-11-01 12:30
文章标签 android 方法 手机 清理 病毒 kungfu

本文主要是介绍Android.KungFu手机病毒清理方法，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

Android.KungFu最早在6月份被安全厂商截获，随后又出现了至少3种不同的变种，截止到发文为止，这款病毒仍然在不断演化。KungFu系列病毒的特征非常典型，感染此病毒的手机会自动在后台静默下载并安装某些软件，当手机感染此病毒后使用常规安全软件无法彻底清除，甚至将手机恢复至出厂设置也无法解决问题，这款病毒通常会捆绑在某些合法软件内，在第三方Android应用市场和论坛中传播，常见的宿主包括一键XXX(免费)、音乐随身听等，截止到发文为止，LBE团队已经通知各大第三方Android应用市场和论坛关注该类型的应用。

步骤/方法

  1. 　　Android.KungFu整体架构由两个模块构成，第一个模块(Loader)会在宿主运行到特定场景时激活，随后执行提权操作，并加载第二个模块(Payload)，Payload模块则常驻内存，执行各种威胁手机安全的操作。Android.KungFu不同的变种之间，区别主要在于不同的Loader，Payload模块则基本相同。当Loader模块被激活后，首先会试图获得ROOT权限。根据宿主软件的不同，Loader会采用不同的策略，如果Loader宿主本身需要ROOT 权限，Loader就会附着在宿主需要以ROOT权限执行的代码之后运行(例如一键XXX免费版，其中捆绑的Android.KungFu会嵌入在安装 XXX的代码中)。如果宿主本身不需要ROOT权限，Loader会利用公开的漏洞(NPROC_RLIMIT)在后台静默获取ROOT权限(例如音乐随 身听)。由于这个漏洞广泛的存在于Android2.1和2.2设备上，所以，即使手机没有ROOT权限，多数手机依然会受这个病毒威胁。

    Android.KungFu手机病毒清理方法

  2. 然后，随后，Loader会进行以下操作(不同的变种具体细节可能不同)：

  3. 将系统分区设置为可写

    　　获取设备信息，包括系统版本，手机品牌，Device ID，SDK版本等数据，写mycfg.ini，并将此ini文件复制到/system/etc下重命名为.rild_cfg

    　　使用AES加密算法解密Payload(Payload通常保存在宿主的assets中，名为Webview.db.init)，并将Payload复制以下位置：

    　　/system/etc/.dhcpcd

    　　/system/xbin/ccb

    　　/system/bin/installd(将原始文件备份为/system/bin/installdd)

    　　/system/bin/dhcpcd(将原始文件备份为/system/bin/dhcpcdd)

    　　/system/bin/bootanimation(将原始文件备份为/system/bin/bootanimationd)

    　　恢复系统分区为只读，并执行/system/xbin/ccb

    　　至此，Payload已经完成金蝉脱壳，从宿主APK中成功的被释放出来了。由于病毒替换的关键系统文件(installd, dhcpcd, bootanimation)在开机过程中会自动启动，因此病毒实际上具备了以ROOT权限开机自动启动的能力。同时，由于Payload已经脱离APK 藏身于系统分区内，即使安全软件检测到病毒，也无法进行清理操作。

    　　当Payload随系统自动启动之后，会尝试连接以下地址，获取攻击命令：http://search.gongfu-android.com:8511

    　　http://search.zi18.com:8511

    　　http://search.zs169.com:8511

    　　由于Payload感染了多个系统进程，为避免相互冲突，当任意一个Payload进程连接至控制服务器后，便创建/system/etc/dhcpcd.lock文件锁来进行进程同步。

    　　目前Payload已知的功能包括：

    　　自动下载APK软件包至本地

    　　静默安装APK软件包

    　　启动指定APK软件包

    　　静默卸载APK软件包

    　　设置浏览器首页(未使用)

    　　至此，病毒就会源源不断的向受感染的手机中自动下载并安装软件，从中获取高额利益了。

    　　

  4. 清除方法

    　　使用专杀工具

    　　由于Android.KungFu的特殊性，常规安全软件无法完全清除此病毒，因此LBE小组提供了针对Android.KungFu的专杀工具，彻底清理Android.KungFu在系统内的残留，您可以从http://www.lbesec.com/下载到此工具。需要注意的是，使用此工具之前，您必须使用安全软件全盘扫描，确保所有感染病毒的APK文件已被清理，否则有可能清除不彻底导致重新感染。

    　　

  5. 手工清理

    　　我们推荐用户使用专杀工具，方便快捷，但如果您希望能自己动手的话，也可以手工清除Android.KungFu残留。同样在手工清除前，请使用安全软件全盘扫描，确保所有感染病毒的APK文件已被清理，否则有可能清除不彻底导致重新感染。

    　　如果您的手机未安装过Busybox，请首先安装Busybox https://market.android.com/details?id=stericson.busybox

    　　使用超级终端软件，或者在PC上使用adb shell连接至手机，获取root权限后，执行以下命令：

    　　busybox mount –o remount,rw /system

    　　busybox chattr –i /system/etc/.dhcpcd

    　　busybox rm /system/etc/.dhcpcd

    　　busybox chattr –i /system/etc/dhcpcd.lock

    　　busybox rm /system/etc/dhcpcd.lock

    　　busybox chattr –i /system/etc/.rild_cfg

    　　busybox rm /system/etc/.rild_cfg

    　　busybox chattr –i /system/xbin/ccb

    　　busybox rm /system/xbin/ccb

    　　如果/system/bin/installdd文件存在的话，执行以下操作

    　　busybox rm /system/bin/installd

    　　busybox mv /system/bin/installdd /system/bin/installd

    　　如果/system/bin/dhcpcdd文件存在的话，执行以下操作

    　　busybox rm /system/bin/dhcpcd

    　　busybox rm /system/bin/dhcpcdd /system/bin/dhcpcd

    　　如果/system/bin/bootanimationd文件存在的话，执行以下操作

    　　busybox mv /system/bin/bootanimation

    　　busybox mv /system/bin/bootanimiationd /system/bin/bootanimation

    　　最后，重启手机，完成清理

    　　reboot

    　　

  6. 对以上操作的一些说明：

    　　chattr命令是用来去除文件的EXT2_IMMUTABLE_FL标志位。如果系统分区使用ext文件系统的话，病毒会给所有受感染的文件设置此标志 位，此标志位可以防止文件被删除(这也是有些用户尝试用RE管理器删除失败的原因)。如果您在执行chattr命令的时候出现错误，也不要惊慌，这说明您 的系统分区不是ext文件系统，只要随后的rm命令能够成功执行，就表示清理操作已成功。

    　　

  7. 结语和分析

    　　以破坏系统、炫耀技术为目标的恶意软件早已淡出视线，如今的恶意软件都以明确的利益为导向，Android.KungFu也不例外。根据用户报告，该病毒 会自动向用户手机中安装并激活下列软件：大众点评、游戏快递、有你短信、京东商城、当当网、银联、盛大切客、云中书城等。很明显，这是一款通过自动推送并 静默安装软件，以获取推广费用为目的的恶意软件。根据当前市场上一个有效激活大约2元人民币的价格，我们不难算出病毒作者以损害用户经济利益为代价，轻易 攫取了高额的回报。

    　　目前多数安全软件(包括我们LBE小组的软件在内)仅仅会扫描APK文件，而以Android.KungFu为代表的恶意软件，则已经具备初步的感染ELF文件的能力。安全厂商应尽快跟进，加强ELF文件扫描的能力。

    　　由于Android平台的漏洞的频频出现，而厂商在ROM更新方面相对滞后，导致相当一部分Android设备暴漏在提权漏洞的威胁中。作为Android用户，您切不可认为不ROOT就等于安全(更何况，还有相当多的恶意软件无需ROOT也可以运行)。我们建议您：只通过安全的途径下载使用软件，不安装来历不明的软件(谨慎安装各种汉化版、破解版软件)，使用一款安全软件，通过以上途径来保护您手机的安全。

    http://jingyan.baidu.com/article/363872ec8ad56b6e4ba16fb1.html

这篇关于Android.KungFu手机病毒清理方法的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/322979。

相关文章

【C++】_list常用方法解析及模拟实现

【C++】_list常用方法解析及模拟实现

相信自己的力量，只要对自己始终保持信心，尽自己最大努力去完成任何事，就算事情最终结果是失败了，努力了也不留遗憾。💓💓💓 目录   ✨说在前面 🍋知识点一：什么是list？ •🌰1.list的定义 •🌰2.list的基本特性 •🌰3.常用接口介绍 🍋知识点二：list常用接口 •🌰1.默认成员函数 🔥构造函数（⭐） 🔥析构函数 •🌰2.list对象
阅读更多...
Android实现任意版本设置默认的锁屏壁纸和桌面壁纸（两张壁纸可不一致）

Android实现任意版本设置默认的锁屏壁纸和桌面壁纸（两张壁纸可不一致）

客户有些需求需要设置默认壁纸和锁屏壁纸  在默认情况下 这两个壁纸是相同的  如果需要默认的锁屏壁纸和桌面壁纸不一样 需要额外修改 Android13实现 替换默认桌面壁纸： 将图片文件替换frameworks/base/core/res/res/drawable-nodpi/default_wallpaper.*  （注意不能是bmp格式） 替换默认锁屏壁纸： 将图片资源放入vendo
阅读更多...
浅谈主机加固，六种有效的主机加固方法

浅谈主机加固，六种有效的主机加固方法

在数字化时代，数据的价值不言而喻，但随之而来的安全威胁也日益严峻。从勒索病毒到内部泄露，企业的数据安全面临着前所未有的挑战。为了应对这些挑战，一种全新的主机加固解决方案应运而生。 MCK主机加固解决方案，采用先进的安全容器中间件技术，构建起一套内核级的纵深立体防护体系。这一体系突破了传统安全防护的局限，即使在管理员权限被恶意利用的情况下，也能确保服务器的安全稳定运行。 普适主机加固措施：
阅读更多...
Android平台播放RTSP流的几种方案探究（VLC VS ExoPlayer VS SmartPlayer）

Android平台播放RTSP流的几种方案探究（VLC VS ExoPlayer VS SmartPlayer）

技术背景 好多开发者需要遴选Android平台RTSP直播播放器的时候，不知道如何选的好，本文针对常用的方案，做个大概的说明： 1. 使用VLC for Android VLC Media Player（VLC多媒体播放器），最初命名为VideoLAN客户端，是VideoLAN品牌产品，是VideoLAN计划的多媒体播放器。它支持众多音频与视频解码器及文件格式，并支持DVD影音光盘，VCD影
阅读更多...
webm怎么转换成mp4？这几种方法超多人在用！

webm怎么转换成mp4？这几种方法超多人在用！

webm怎么转换成mp4？WebM作为一种新兴的视频编码格式，近年来逐渐进入大众视野，其背后承载着诸多优势，但同时也伴随着不容忽视的局限性，首要挑战在于其兼容性边界，尽管WebM已广泛适应于众多网站与软件平台，但在特定应用环境或老旧设备上，其兼容难题依旧凸显，为用户体验带来不便，再者，WebM格式的非普适性也体现在编辑流程上，由于它并非行业内的通用标准，编辑过程中可能会遭遇格式不兼容的障碍，导致操
阅读更多...
透彻！驯服大型语言模型（LLMs）的五种方法，及具体方法选择思路

透彻！驯服大型语言模型（LLMs）的五种方法，及具体方法选择思路

引言 随着时间的发展，大型语言模型不再停留在演示阶段而是逐步面向生产系统的应用，随着人们期望的不断增加，目标也发生了巨大的变化。在短短的几个月的时间里，人们对大模型的认识已经从对其zero-shot能力感到惊讶，转变为考虑改进模型质量、提高模型可用性。 「大语言模型(LLMs)其实就是利用高容量的模型架构（例如Transformer）对海量的、多种多样的数据分布进行建模得到，它包含了大量的先验
阅读更多...
【北交大信息所AI-Max2】使用方法

【北交大信息所AI-Max2】使用方法

BJTU信息所集群AI_MAX2使用方法 使用的前提是预约到相应的算力卡，拥有登录权限的账号密码，一般为导师组共用一个。 有浏览器、ssh工具就可以。 1.新建集群Terminal 浏览器登陆10.126.62.75 （如果是1集群把75改成66） 交互式开发 执行器选Terminal 密码随便设一个（需记住） 工作空间：私有数据、全部文件 加速器选GeForce_RTX_2080_Ti
阅读更多...
android-opencv-jni

android-opencv-jni

//------------------start opencv--------------------@Override public void onResume(){ super.onResume(); //通过OpenCV引擎服务加载并初始化OpenCV类库，所谓OpenCV引擎服务即是 //OpenCV_2.4.3.2_Manager_2.4_*.apk程序包，存
阅读更多...
【VUE】跨域问题的概念，以及解决方法。

【VUE】跨域问题的概念，以及解决方法。

目录 1.跨域概念 2.解决方法 2.1 配置网络请求代理 2.2 使用@CrossOrigin 注解 2.3 通过配置文件实现跨域 2.4 添加 CorsWebFilter 来解决跨域问题 1.跨域概念 跨域问题是由于浏览器实施了同源策略，该策略要求请求的域名、协议和端口必须与提供资源的服务相同。如果不相同，则需要服务器显式地允许这种跨域请求。一般在springbo
阅读更多...
从状态管理到性能优化：全面解析 Android Compose

从状态管理到性能优化：全面解析 Android Compose

文章目录 引言一、Android Compose基本概念1.1 什么是Android Compose?1.2 Compose的优势1.3 如何在项目中使用Compose 二、Compose中的状态管理2.1 状态管理的重要性2.2 Compose中的状态和数据流2.3 使用State和MutableState处理状态2.4 通过ViewModel进行状态管理 三、Compose中的列表和滚动
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2