“邀请码” - 诈骗类应用分析
一、简述
该恶意应用运行后，私自读取用户的联系人和历史短信记录，后台静默上传到C2服务器，造成用户的隐私信息泄露。
二、样本信息
包名：fujinyueai.yes 应用名：附近约爱 文件SHA1：6c96510ba1b27d939dae7bef824312ae08291c2e 版本：8.68 文件大小：460.5 KB
三、恶意行为分析
3.1 运行界面
应用启动后会弹出一个窗口，要求用户填写“邀请码”。通过rg_n20()方法检查验证码是否正确。
3.2 窃取联系人和历史短信
校验用户输入的验证码是否为空，为空则通过Toast提示用户继续输入。不为空时会将邀请码、联系人、历史短信上传到到C2服务器，然后返回一个字符串。上传链接：http:// app.okctv.xyz/app/public/index.php/index/index/js 用fiddler抓包，可以看到窃取的联系人和短信
3.3 邀请码绕过
经过分析，当C2服务器返回的响应信息包含“OJBK”时校验通过校验。 由于样本来源于网络，我们手上并没有邀请码。可以去Hook rg_wbxl类的rg_n3391()方法，直接返回一个包含“OJBK”的字符串，便可以绕过检测逻辑。
package hook;
import android.util.Log;
import de.robv.android.xposed.IXposedHookLoadPackage;
import de.robv.android.xposed.XC_MethodHook;
import de.robv.android.xposed.XposedBridge;
import de.robv.android.xposed.XposedHelpers;
import de.robv.android.xposed.callbacks.XC_LoadPackage;
/**
* @author yaorc
* @date 2021-04-29 17:19
*/
public class HookApp implements IXposedHookLoadPackage {
private static final String TAG = "HookApp";
@Override
public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) {
String packageName = lpparam.packageName;
String hookPackageName = "fujinyueai.yes";
String hookClassName = "hsh.Java.jb.rg_wbxl";
String hookMethodName = "rg_n3391";
if (hookPackageName.equals(packageName)) {
Log.d(TAG, "handleLoadPackage: 准备Hook应用：" + hookPackageName);
XposedBridge.log(" 准备Hook应用：" + hookPackageName);
// Hook处理
XposedHelpers.findAndHookMethod(hookClassName, lpparam.classLoader, hookMethodName,
byte[].class, new XC_MethodHook() {
@Override
protected void afterHookedMethod(MethodHookParam param) throws Throwable {
super.afterHookedMethod(param);
param.setResult("OJBK");
}
});
}
}
}
激活Hook插件并重启手机，再次打开应用，随便输入邀请码后会弹出带有进度条且不可取消的提示框，后续就没有操作了，所以这个样本的主要目的就是窃取用户的联系人和短信数据，实施下一步诈骗操作。
反编译apk，通过资源反向搜索，可以得知主界面只是加载了一张图片，令用户误以为app是直播交友类软件，实质上并没有相关功能。
四、小结
该恶意应用主要目的是窃取用户的联系人、短信记录，猜测“邀请码”是用于标识用户和统计推广人员的绩效。
结合以往的网络诈骗案例来看，诈骗人员可能会在QQ、论坛等地方散播“交友”信息，引诱用户进行视频裸聊，期间会录制用户的不雅视频。诱导或威胁用户安装需要“邀请码”的APP，窃取用户的联系人后进一步勒索用户，完成整个诈骗流程。