摘要：

金山移动安全中心刚刚截获到一款新型手机病毒，此病毒危害相当大，它不仅能够监听用户短信，消耗用户大量手机费，同时它还会重点监听带有“卡号”、“姓名”、“汇款“等字样的短信，通过这些信息，病毒作者可以远程监控用户的动态密码等敏感信息，进而窃取用户财产。该病毒采用特殊的方式进行自保护，通过正常的卸载方式或第三方杀毒软件都无法完成卸载，而且还会占用大量的系统资源，金山手机卫士已经在第一时间放出解决方案。

关键词：金山手机卫士 金山网络 Android.Troj.SMSZombie.a

--------------------------------------------------------------------------------------------------

安装后注册开机自启动：

1.样本通过注册“android.intent.action.BOOT_COMPLETED”的receiver实现开机启动

2.注册开机自启动

3.启动服务TService

TService会注册android.provider.Telephony.SMS_RECEIVED广播的接收器和content://sms/的监控器，他们都会指向SMSReceiver，以实现监控短信的目的

拦截用户短信：

监控短信，先检测是否是升级短信，如果是升级短信则会更新设置信息并将删除该短信，否则继续监测关键字，如果包含关键字则上传并删除.

1.通过拦截短信升级配置文件，升级短信的内容是一段xml，shengji.xml（升级）初始化，检测不是升级短信则返回，置zhongzhi=1，此时会将升级短信删除。

如果是升级短信则更新配置文件，则同时发送2条短信：将关键字发送至新号码，将新号码+“;信息发送成功”发送至指定手机号。

2.非升级短信关键字的检测和拦截

病毒首先判断用户收到的短信是否是升级短信

如果不是升级短信则继续进行关键字检测

如果病毒检测到关键字，则将参数zhongzhi=1，同时会发送短信内容至指定号码，之后会终止该短信的广播

3.上传用户短信内容，病毒拦截短信的receiver将收到的所有短信发送到指定的号码上，格式为：yyyy-MM-dd HH:mm:ss:号码--内容。

病毒防卸载的流程与原理：

1.注册设备管理器

a.循环提权, 提权不成功一直循环

b.提权成功后发送短信到指定号码

c.获取权限后注册设备管理器

d.设备管理器(卸载页面)一旦启动, 病毒将强制将桌面跳回到桌面

2.监控日志

a.启动lotcat监控线程, 清空logcat

b.循环获取logcat内容, 内容传给mService 处理

c.搜索logcat输出的内容, 发现卸载自己包名或360界面的关键字, 立刻强制跳回桌面, 导致无法继续操作

使用短信发送手机详细信息：

病毒子体是有图标的, 打开默认界面后先是创建phone.xml, 然后把手机详细信息发送到13093632006, 发送的手机信息有: (内容过长分条发送)

母体释放并加载子体流程分析：

行为：释放并欺骗用户安装病毒子体

程序主入口，点击运行，启动jifenActivity毒子体

1.注册android.intent.action.PACKAGE_ADDED广播接收器，创建/data/data/android.phone.com/files/phone.xml配置文件，用于病毒子体文件。

2.MyReceiver接收android.intent.action.PACKAGE_ADDED广播，用于删除病毒子体文件。如果病毒子体已经安装则会启动子体程序

3.点击“美女游戏按钮”， 对于存在安装过子体的则运行子体，对于没有安装过子体的则会诱骗安装。

设置动态壁纸后弹出诱骗安装的界面，欺骗用户点击。

4.retrieveApkFromAssets()将病毒子体文件拷贝到data/data下，准备后续的安装。

5.showInstallConfirmDialog()通过获取积分的方式诱骗用户安装病毒子体。

6.通过获取积分的方式诱骗用户安装病毒子体。

7.当用户再次设置该动态壁纸时会运行病毒子包的设置程序，欺骗用户激活病毒骗取root权限, 以便注册设备管理器。

安装金山手机卫士可彻底清除该病毒，请下载最新版金山手机卫士：快速下载