「android」直接rootAndroid设备，会「隐身」的恶意软件AbstractEmu正在偷偷作恶

原文标题：直接rootAndroid设备，会「隐身」的恶意软件AbstractEmu正在偷偷作恶

整理 | 梦依丹

" 我就点一下，钱就没了 "！手机不仅给我们带来便利，而且还记录着我们方方面面的信息，甚至是一言一行。正因此，它成了漏洞制作者、恶意软件黑客们的头部目标。

近日，国外信息安全公司 Lookout Threat Labs 研究发现一种名为 AbstractEmu 的新型 root Android 恶意软件，Lookout 研究人员将它命名为 "AbstractEmu"，因为它可以在使用代码抽象和反仿真检查逃避监测。

无目的多渠道分发 影响 17 个国家 / 地区用户

此外，Aptoide、APKPure 和其他一些鲜为人知的应用商店上也出现了它们的踪迹。虽然大多数乃英文编写，但 Lookout 也发现了一个使用越南语传播的实例。目前一共有 17 个国家 / 地区的人受到 AbstractEmu 的影响，其中美国人民受到威胁最大。

在发现的 19 个与恶意软件相关的应用程序中，大多数应用程序都伪装成了常用 & 使用工具类用程序，比如文件、密码管理器、应用程序启动器等。

Lookout 研究员表示，在过去 5 年，具备 root 权限的恶意软件已很少见到。随着 Android 生态系统的成熟，能够影响大量用户设备的漏洞越来越少。

尽管比较罕见，但 root 恶意软件是非常危险的，它可以使用五种不同的已知安全漏洞在智能手机上获得 "root" 权限，从而获得比更强大的系统权限，进而可以悄悄访问用户应用程序里的敏感数据，也可以安装其他恶意软件。

谁是幕后黑手？

那么这些 root 恶意软件的幕后黑手是谁？

虽然无法确切地说出这些幕后操作者，但 Lookout 分析到，首先他们是一群资源丰富且有经济动机的团队，他们的代码库和规避技术非常复杂，例如使用刻录机来记录电子邮件、姓名、电话号码和假名。其次，这些恶意软件与银行木马之间有相似之处，例如他们的应用程序分发和权限获取是无针对性的。

AbstractEmu 利用的漏洞类型也非常现代，多为 2019 年和 2020 年的一些漏洞，它们尽可能多地指向目标用户，例如其中一个利用漏洞是 CVE-2020-0041，以前从未被恶意软件利用；另一是 CVE-2020-0069，这是在联发科芯片中发现的漏洞，搭载该芯片的智能设备已畅销数百万台。此外，他们还修改了 CVE-2019-2215 和 CVE-2020-0041 的公开漏洞利用代码，以支持获取更多目标。

AbstractEmu 是如何作恶的？

一旦应用被激活后，AbstractEmu 首先会对设备进行真实与模拟检测，一旦设备通过初始分析，应用程序将开始通过 HTTP 与其命令和控制 ( C2 ) 服务器通信，期望接收一系列 JSON 命令以执行。每个应用程序都包含它支持的硬编码命令。为了决定执行哪个命令，应用程序会向 C2 服务器发送大量数据，包括它支持的命令，以及设备数据，例如设备制造商、型号、版本和序列号、电话号码和 IP 地址。

AbstractEmu 应用程序向 C2 服务器发送的数据

上番操作之后，AbstractEmu 操作员就可以给恶意软件提供各种命令，例如获得 root 权限、根据文件的新旧程度或匹配给定模式来收集和窃取文件，并安装新的应用程序。

从 AbstractEmu 的 C2 服务器发送的总共四种不同类型的 JSON 命令

AbstractEmu 如何 root Android 设备

第一步则是获取 Android 设备的 root 访问权限，通过 root 设备，AbstractEmu 恶意软件可以悄悄地与应用程序进行交互，修改应用程序的一些默认设置。

为确保能够顺利执行 root 操作，恶意程序会嵌入到 root 生成和完成之后的隐藏编码文件中——包括针对不同漏洞类型的二进制文件。默认情况下，这些二进制文件会按指定顺序执行官，但 AbstractEmu 的 C2 服务器可以更改执行顺序。

AbstractEmu 恶意软件默认执行的漏洞表

除了这些二进制文件之外，这些应用程序还包含三个编码的 shell 脚本和两个从 Magisk 复制的编码二进制文件， Magisk 是一种允许 Android 用户在其设备上获取 root 访问权限的工具。

在设备遭到 root 后，AbstractEmu 会跟踪通知，截取屏幕和录制视频来阻止设备重置密码。

Lookout 研究人员表示，root Android 或越狱 iOS 设备仍然是完全破坏移动设备的最具侵入性的方式。

推荐阅读：净水器是不是智商税？我们应该用哪种方式喝水？