ANDROID勒索軟體黑產研究 -- 惡意軟體一鍵生成器

03-03

360烽火實驗室

摘要

2017年1月至9月，360烽火實驗室共捕獲手機勒索惡意軟體50萬餘個，平均每月捕獲手機勒索軟體5.5萬餘個。語音識別、二維碼和文件加密等新型勒索軟體不斷湧現。
社交網路服務被濫用，2017年前三季度，360烽火實驗室發現勒索信息中新增QQ號碼7.7萬餘個，QQ群號碼1千餘個。其中，一季度新增QQ號碼和QQ群號碼數量均為最多，第二、三季度逐漸下降，與一季度相比二季度下降23.0%，三季度下降56.8%。
大部分勒索信息中都會同時出現QQ號和QQ群號。在相似頁面布局的勒索頁面中，變化是只是QQ號而QQ群號基本不變。
鎖機源碼、測試視頻、視頻教程、軟體源碼及製作工具等等上傳到群文件中，共享給群里其他人，甚至還有人製作木馬一鍵生成器。
通QQ群查詢「鎖機」關鍵字得到的結果，帶有「鎖機」關鍵字標籤的QQ群有200餘個，由此可見QQ群是勒索軟體的主要傳播源。
大部分一鍵生成器由簡易工具AIDE製作而成，一鍵生成器能夠製作22種不同類型的軟體，其中包括了12種不同類型的勒索軟體、6種釣魚軟體、2種套路軟體、1種攔截馬軟體以及1種表白軟體。
生成流程包括三個部分，選擇生成軟體的類型、填寫生成軟體的配置信息和添加生成軟體ROOT鎖。

關鍵詞：移動安全、手機勒索、一鍵生成器

第一章研究背景

一、手機勒索軟體肆虐嚴重

今年5月，WannaCry勒索病毒全球大爆發，至少150個國家、30萬名用戶中招，造成損失達80億美元，已經影響到金融，能源，醫療等眾多行業，造成嚴重的危機管理問題。中國部分Windows操作系統用戶遭受感染，校園網用戶首當其衝，受害嚴重，大量實驗室數據和畢業設計被鎖定加密。部分大型企業的應用系統和資料庫文件被加密後，無法正常工作，影響巨大。

面對這突如其來的病毒攻擊，勒索軟體成為人們熱點關注的話題。相比PC的勒索軟體，手機勒索軟體近年來在數量和種類上也得到了逐漸迅猛發展演變。

2017年1月至9月，360烽火實驗室共捕獲手機勒索惡意軟體50萬餘個，平均每月捕獲手機勒索軟體5.5萬餘個。其中1月到5月手機勒索軟體呈現波動式增長，6月份網警在蕪湖、安陽將勒索病毒製作者男子陳某及主要傳播者晉某抓獲，全國首例手機勒索病毒案告破，在6月份以後新增數量急劇下降，手機勒索軟體製作者得到了一定震懾作用。

二、新型勒索軟體不斷湧現

今年我們發現了勒索軟體使用的三種新型的技術手段：語音識別、二維碼和文件加密。語音識別採用STT（Speech to Text）技術，不再使用手動鍵入密碼來解鎖，通過使用者的語音輸入，進行識別、匹配從而進行解鎖；二維碼技術手段是通過掃描制馬人生成的二維碼進行轉賬支付勒索金額，整個轉賬過程中雙方信息交互僅為微信用戶的昵稱與轉賬賬目相關信息，微信用戶的昵稱可以隨意改變且不唯一，轉賬過程中不涉及雙方微信賬號的信息，轉賬後無法自動解鎖，讓受害者再次陷入制馬人的騙局中。

http://w.url.cn/s/ANLSjLF (二維碼自動識別)

文件加密類型的勒索軟體，雖然在國外早已出現，但在國內之前還並不常見，在受到了PC端的WannaCry勒索病毒大爆發影響後，國內開始出現仿冒頁面布局、圖片及功能的手機版WannaCry勒索病毒，甚至將手機版可編譯的源碼上傳至Github。

今年6月，我們發現了一款冒充時下熱門手游「王者榮耀」輔助工具的手機勒索惡意軟體，會對手機中照片、下載、雲盤等目錄下的個人文件進行加密。並向用戶勒索贖金，金額在20元、40元不等。並且宣稱三天不交贖金，價格將翻倍，七天不交，將刪除所有加密文件。這個惡意軟體由於可以在加密演算法、密鑰生成演算法上進行隨機的變化，甚至可以選擇對生成的病毒樣本進行加固混淆，很大程度上增加了修復難度，對手機中文件和資料造成了嚴重破壞。

第二章社交網路成為勒索軟體主要傳播渠道

一、QQ服務被濫用

我們發現勒索軟體在勒索頁面的設計和文字上都有很多相似的地方，其中最為典型的特徵是勒索頁面中都留有制馬人聯繫方式，方便中招的受害者與制馬人聯繫，以便制馬人對受害者進行敲詐勒索，這些聯繫方式幾乎都是QQ號或者是QQ群。

2017年前三季度，360烽火實驗室發現勒索信息中新增QQ號碼7.7萬餘個，QQ群號碼1千餘個。其中，一季度新增QQ號碼和QQ群號碼數量均為最多，第二、三季度逐漸下降，與一季度相比二季度下降23.0%，三季度下降56.8%。

二、QQ群是主要傳播源

（一）QQ與QQ群關係

通過對勒索軟體預留的QQ號與QQ群的分析，我們發現大部分勒索信息中都會同時出現QQ號和QQ群號。在相似頁面布局的勒索頁面中，變化是只是QQ號而QQ群號基本不變。

例如，QQ群號30****23，與該號碼同時出現有325個不同的QQ號，包含這些QQ號的勒索軟體6千餘個。

2017年上半年，通過該QQ群傳播的勒索軟體累計感染手機近1萬部。感染地區覆蓋全國30多個省市，感染量最多的三個地區是北京（47.0%）、江蘇（35.0%）、廣東（4.0%）。

（二）QQ群共享資源

我們進到一些鎖機QQ群後發現，群里有人將一些鎖機源碼、測試視頻、視頻教程、軟體源碼及製作工具等等上傳到群文件中，共享給群里其他人，甚至還有人製作木馬一鍵生成器。

這種一鍵生成器操作簡單，不需要具備編程知識而且能夠自定義生成多種類型的手機惡意軟體。由於使用門檻低，造成了勒索軟體從數量、類型上的不斷增長與變化。

三、傳播影響與範圍

通QQ群查詢「鎖機」關鍵字得到的結果，帶有「鎖機」關鍵字標籤的QQ群有200餘個，由此可見QQ群是勒索軟體的主要傳播源。

第三章勒索軟體定製與工廠化

一、大部分一鍵生成器由簡易工具製作而成

勒索軟體一鍵生成器不僅能夠根據需求定製手機惡意軟體尤其是勒索軟體，而且還能夠批量生產進入工廠化模式，這種一鍵生成器與大部分國內勒索軟體，同樣是使用AIDE開發工具開發。

AIDE是一款用於直接在Android設備上開發Android應用程序的集成開發環境（IDE）。支持編寫-編譯-調試運行整個周期，開發人員可以在Android手機或者平板機上創建新的項目，藉助功能豐富的編輯器進行代碼編寫，支持實時錯誤檢查、代碼重構、代碼智能導航、生成APK，然後直接安裝進行測試。使用AIDE能降低軟體作者的學習成本和開發門檻，同時擁有更靈活和快速修改代碼的能力。

創建APP工程