今日一款名為“蝗蟲”的手機木馬瘋狂肆虐。360手機安全中心接到大量反饋，稱手機瘋狂向通訊錄聯系人群發(fā)短信，誘騙對方下載名為“XX神器”的手機應用，且在短信中直呼姓名極具迷惑性，一旦有人中招，木馬將會再次瘋狂傳播。360手機安全中心在7月28日率先捕獲該木馬樣本后，監(jiān)測到8月2日出現爆發(fā)式傳播態(tài)勢。目前360手機衛(wèi)士已在國內首家查殺該木馬，建議手機用戶收到類似短信不點擊不安裝，并確保手機開啟360手機衛(wèi)士的實時防護功能，阻止“蝗蟲”木馬感染手機。
圖1：蝗蟲木馬會群發(fā)詐騙短信，同時誘騙中招手機用戶填寫隱私信息
360手機安全專家分析發(fā)現，蝗蟲木馬主要存在以下五大主要危害：
1、群發(fā)詐騙短信。手機一旦中招，蝗蟲木馬會讀取手機通訊錄中的聯系人列表，并向所有聯系人群發(fā)包括木馬下載地址的欺詐短信，極具擴散能力。短信中會顯示短信接受者的姓名，極具迷惑性：“(聯系人姓名)看這個，‘cdn.yyupload.com/***.apk’”。
2、竊取隱私信息�！癤X神器”打開后，會要求用戶填寫用戶名、密碼、姓名及身份證號等隱私信息，提交后會發(fā)到一個指定的手機號碼上。
3、可偽造或刪除任何短信內容。
4、會轉發(fā)手機中所有短信到指定的手機號碼。
5、得到黑客遠程指令后，可發(fā)送所有聯系人信息到指定郵箱。
研究發(fā)現，“XX神器”安裝時會同時釋放具備更多惡意行為的惡意子包，惡意子包一旦安裝，會將圖標隱藏，即使刪除了“XX神器”，木馬依然可以作惡。
圖2：360手機衛(wèi)士可徹底清除“蝗蟲”木馬
360手機安全專家萬仁國通過木馬樣本代碼分析發(fā)現，代碼中出現的手機號(同時也是微信號)及QQ號碼為中南大學的一李姓學生所有。信息顯示，該木馬從8月2日早上8點開始呈現瘋狂肆虐的態(tài)勢，8月2日同時也是“七夕”，“XX神器”很有可能借節(jié)日瘋狂傳播。專家緊急提醒廣大安卓手機用戶，如果收到帶有下載鏈接的短信，千萬不要點擊和安裝。如果手機已中招，盡快為手機安裝360手機衛(wèi)士安全軟件查殺，并盡快通知并通訊錄好友，防止中招和擴散。（
媒體報道：
據公安部治安管理局官方微博“公安部打四黑除四害”消息，8月2日凌晨1時，深圳網警陸續(xù)接報群眾手機感染“XX神器”木馬病毒的警情，立即聯合羅湖分局成立專案組開展偵查，后又接到山東濰坊、四川成都等地網警部門案情通報，經過17個小時的通宵奮戰(zhàn)，于8月2日18時抓獲制作傳播該病毒的犯罪嫌疑人李某。目前，該案正在進一步偵查中。
據媒體報道，昨日一大早，家住北京海淀區(qū)牡丹園東里的陳先生手機短信接二連三地收到不同親友發(fā)的奇怪短信，短信內容都還明確寫明了陳先生的名字，并附有一個鏈接地址。好奇的陳先生一點開鏈接，就下載了一個名為“XXshenqi”的應用軟件，隨后，在陳先生不知情的情況下，這個軟件又開始向他手機通訊錄中的聯系人群發(fā)同樣的短信。就在陳先生郁悶的時候，他的手機又收到當初發(fā)給他短信的朋友來信，稱剛剛發(fā)送的短信是病毒，讓陳先生切勿點擊。
全國不少地區(qū)的手機用戶昨日一早都收到了這樣的病毒短信：““XXX(機主姓名)看這個，ht://********XXshenqi.apk”。截至昨日下午，全國不少省市警方的官方微博都開始發(fā)布防范提醒，提醒網友遇到此類短信切勿點擊下載。而“首都網警”、“廣州從化公安”、“濰坊網警”、“新華社中國網事”、“中國移動10086官方微博”等微博也都已發(fā)布了相關提醒：這是手機病毒，點擊后會下載惡意軟件，竊取手機通訊錄，并群發(fā)病毒短信！
有網友稱，該安裝包最先起源于一些低端視頻網站的看片神器，但截至目前此說法也未得到官方證實。
媒體報道稱，據一線網警表示，這條短信是一個典型的病毒短信。首先，該短信中的鏈接使用CDN為開頭，以APK為結尾，熟悉手機軟件的專業(yè)人士一眼就能看出這個鏈接是一個不安全的下載軟件。網警解釋說，CDN是內容分發(fā)網絡，通俗地說就是一個資源管理中心，很多的資源都上傳到這里，用戶可以在這里下載。APK就是安卓系統(tǒng)的安裝包，相當于windows中的exe文件，所以這個病毒只會對安卓手機產生影響。
蝗蟲手機木馬查殺分析報告：
一、主包分析
包名：com.example.xxshenqi
應用名：XX神器
MD5：5956C29CE2E17F49A71AC8526DD9CDE3
主要惡意行為：遍歷聯系人后群發(fā)短信，使惡意木馬再次擴散傳播；偽造釣魚頁面，誘騙用戶注冊填寫個人信息，導致隱私泄露；安裝惡意子包。
權限：
程序入口
點擊應用圖標啟動
遍歷手機中的通訊錄，獲得聯系人姓名及號碼，并向這些號碼發(fā)送內容為“【聯系人】看這個http://cdn.yyupload.com/down/4279193/XXshenqi.apk”的短信。
短信發(fā)送完成后，向指定號碼發(fā)送內容為“XXshenqi 群發(fā)鏈接OK”的短信。
注冊接收“android.intent.action.PACKAGE_ADDED”廣播的receiver，用于檢測子包是否安裝。
檢測子包是否已經安裝，如果沒有安裝，則將子包apk從主包的assets目錄中釋放到/data/data/com.example.xxshenqi/files，以便下一步安裝。
顯示提示框，引導用戶安裝子包。
子包安裝后會，系統(tǒng)會發(fā)出“android.intent.action.PACKAGE_ADDED”廣播，這個廣播會被之前注冊的receiver接收到。
收到廣播后，會啟動已安裝的子包，并向指定號碼發(fā)送內容為“new Tro instanll Ok”的短信。
進入程序的主界面
登錄頁面的處理：
檢查是否安裝了子包，如果沒有安裝子包則彈框引導用戶安裝。
檢查網絡是否通暢，如果網絡異常則提示用戶檢查網絡。
密碼大于等于6位會提示“正在驗證，請稍候”，“密碼或賬號不存在！”
其他情況下提示“請輸入正確的賬號或密碼”
賬戶永遠不可能登錄成功！
點擊注冊功能，顯示一個釣魚頁面，誘導用戶輸入個人信息。
注冊程序對用戶輸入的身份證號碼做了一些簡單的校驗，例如：年份在1980至1996之間、月份的十位小于個位、日期在1至31之間、不符合條件的身份證號碼不能通過驗證。最后將獲得個人信息（姓名和身份證號碼）以短信形式發(fā)送至指定號碼，并提示用戶注冊成功。
至此，主包功能結束
二、子包分析
包名：com.example.com.android.trogoogle
應用名：com.android.Trogoogle
MD5：b0dea6906329c47edbecd48adc15a996
主要惡意行為：啟動后隱藏圖標、通過短信指令控制，可實現竊取用戶收到的短信信息、發(fā)送的短信信息、聯系人信息、偽造和刪除短信。
惡意子包在第一次啟動后圖標消失，之后的觸發(fā)可以通過短信接收廣播和開機自啟廣告啟動，
通過開機自啟動后，會直接進入SEND查詢模式，隨后進入RECV查詢模式，當接受到短信時進入RECV查詢模式。
SEND查詢模式
進入SEND模式后直接將用戶后續(xù)會發(fā)送的短信內容，通過短信的方式轉發(fā)到指定號碼。
RECV查詢模式
進入RECV模式后，惡意子包接收短信指令，竊取用戶短信信息，聯系人信息，以及偽造短信。
對中招手機發(fā)送sendlink命令，會將聯系人信息通過郵件的方式轉發(fā)到指定郵箱。
對中招手機發(fā)送readmessage命令，把手機中所有的短信通過郵件的方式轉發(fā)到指定郵箱。
通過郵件將聯系人或短信發(fā)送到指定郵箱。
對中招手機發(fā)送sendmessage命令，會將后續(xù)收到的短信通過短信的方式轉發(fā)到指定號碼。
會對非11位的發(fā)件號碼做特殊處理，如果中招手機接收到的短信的發(fā)送號碼不是11位，木馬作者認為可能是淘寶信息，在轉發(fā)短信的同時，特別注釋為“特殊消息”
對中招手機發(fā)送makemessage命令，接受到指令后會偽造短信信息。
三、解決方案
目前，360手機衛(wèi)士可對蝗蟲木馬進行精準查殺。
下載 
下載 
下載 
下載 
下載 
喜歡 
頂
難過
囧
圍觀
無聊
