Android恶意软件特征及分类

原文链接：https://blog.csdn.net/ybdesire/java/article/details/52761808

展开针对Android的恶意软件，除了熟知的木马、病毒，还有勒索软件(ransomware)、广告(adware)和间谍软件(spyware)。

要研究Android的恶意软件，首先需要知道，软件的哪些行为算是“恶意”，什么样的软件叫“恶意软件”。

恶意软件特征文章[1]中给出了很详细的说明，推荐仔细阅读。这里根据自己的理解总结一下。

[1]从软件安装，功能触发，负载三个方面描述了恶意软件的特征。

恶意软件是怎么被安装到手机上的重打包比如把“愤怒的小鸟”反编译后，植入恶意代码，再重新编译为APK提交给第三方市场。它还可能做一下代码混淆，防止静态检测。

更新包APP动态运行时才下载恶意负载。

偷渡式下载引诱用户访问恶意网站，并在未经用户允许的情况下下载恶意负载。

触发方式诱导用户点击用户直接点击，就触发了恶意负载的运行。

监听系统事件广播机制会自动进行事件通知和函数回调。所以恶意软件通过监听系统事件，就能自动触发恶意负载。

BOOT_COMPLETED，开机自启动SMS_RECEIVED，监听来自运营商的服务定制确认短信恶意负载主要有5类：

权限提升远程控制话费吸取隐私窃取自我保护特权提升特权提升能够突破Android的权限机制和沙箱机制，允许恶意软件执行特权操作。

远程控制远程灵活控制，负责信息回传，更新本地恶意功能。

话费吸取比如强行定制SP服务并从中牟利。恶意软件还会通过过滤SP的短信，达到秘密扣费的目的。

隐私窃取窃取短信，通讯录，通话记录，定位，拍照等功能。手机用户隐私数据，社交数据和设备数据。

自我保护恶意软件利用代码保护技术，造成静态分析失败，反编译困难。

ProGuard可用于压缩，优化和混淆Java字节码。

恶意软件分类根据[2]，可知Android恶意软件有不同的分类方法，下面介绍两种分类。

按传统方法分按照传统的分类方法，恶意软件可分为：

木马类：这是一类多发性的恶意软件，比如Zsone:自动发短信去订阅付费内容，从而扣除电话费FakeNetflix: Netflix是一个看视频的软件。FakeNetflix会盗窃Netflix用户的账号信息，并传回Server端Fakeplayer:Spitmo: 被注入到银行应用中，偷盗用户的银行账号密码Zitmo: 盗窃银行发送的验证码病毒类Obad: 蠕虫病毒，自我复制和传播后门类Obad: 利用Android提升权限，防止被卸载。向增值服务号码发送短信获利。既是后门，又是病毒RATC: RageAgainstTheCage，adb setuid exhaustion attack，是一个Root漏洞Basebridge: 它会kill掉安全应用，并发送获利短信订阅增值服务Kmin: 盗取信息并传回server端僵尸类Geinimi：接受远程指令，控制移动端手机，并收集手机信息传回server端AnserverBot: 接受远程指令NotCompatible: 让你的手机变成一个proxy间谍类软件GPSSpy: 伪装成其他APP，上传用户的GPS信息Nickyspy: 记录受害者的电话拨入拨出信息，track用户GPS信息，向其它号码发送短信恐吓类软件Koler: 显示信息，告诉用户你不交钱就要把你送进监狱勒索类软件Fakedefender.B: 显示安全报警信息，说服用户购买服务来删除不存在的malware广告类软件Uapush.APP: 广告软件+偷窃设备信息跟踪类软件SMSTracker也有根据Android恶意软件的特征来进行分类的：

恶意软件安装重打包更新攻击诱惑下载恶意软件运行恶意载荷提权攻击远程控制付费信息收集权限使用2015年Top10恶意软件Android.Lotoor(36.8%): 利用漏洞来获取root权限Android.RevMob(10.0%): 广告库Android.Malapp(6.1%): 弹出广告，诱导你进入不安全网站Android.Fakebank.B(5.4%): 偷盗信息Android.Generisk(5.2%): 暴露隐私、安全、稳定性riskAndroid.AdMob(3.3%): 广告库Android.Iconosis(3.1%): 偷盗你的联系人、图片，track你的位置，访问短息，log你的按键按下信息，发送短信订阅高额服务，Android.Opfake(2.7%): 发送短信订阅增值服务Android.Premiumtext(2.0%): 发送短信订阅增值服务，被重打包过Android.Basebridge(1.7%): 发送短信订阅增值服务，还会kill掉安全应用参考[1] Android恶意软件检测研究与进展_彭国军[2] Android安全研究进展_卿斯汉[3] 2016 Internet Security Threat Report, https://www.symantec.com/security-center/threat-report————————————————