谷歌应用商店热门应用感染Necro恶意软件

近期，名为 Necro 的恶意软件加载程序再次引发关注。其最新版本通过合法应用程序的修改版本传播，如 Spotify、WhatsApp 和 Minecraft 等知名应用。恶意应用不仅存在于第三方平台，甚至也一度出现在 Google Play 商店。受感染的应用包括《Wuta Camera》和《Max Browser》，这两款应用的下载量分别超过 1000 万次和 100 万次。虽然《Wuta Camera》已在最新版本中移除恶意代码，但《Max Browser》目前已从 Play Store 下架。

Necro技术分析

在恶意软件的攻击过程中，技术细节往往决定了其隐蔽性、传播性以及对设备的控制能力。 Necro通过一些高度复杂的技术手段来逃避检测，并在受害者设备上执行各种恶意操作。

以下是 Necro 恶意软件的详细技术分析：

1. 隐写术（Steganography）

隐写术是一种用于将信息隐藏在其他内容中的技术，而 Necro 使用隐写术将其恶意载荷隐藏在普通文件中。具体来说，攻击者将恶意代码嵌入在 PNG 图像文件中，并通过网络将这些图像传送给受感染的应用程序。

具体过程如下：

受感染的应用通过 Coral SDK 向远程服务器发送 HTTP POST 请求。
服务器响应一个链接，指向 adoss.spinsok[.]com 上托管的一个伪装成 PNG 图像文件的文件。
应用随后下载该图像文件，并从其中提取 Base64 编码的 JAR 文件（Java 档案）。
通过隐写术，恶意软件得以在表面上看似无害的图像中藏匿恶意代码，从而绕过防病毒软件的检测。

这种技术是移动恶意软件中较为罕见的手段，大大增加了恶意软件的隐蔽性。

2. 混淆技术（Obfuscation）

混淆技术是另一种常用的手段，主要目的是通过改变代码的外观，使之难以被逆向工程和检测工具识别。Necro 利用了高度复杂的代码混淆技术，使得防护软件在分析代码时难以辨认其真正的功能。

具体来说，恶意软件通过修改变量名、控制流、函数调用等，将代码变得难以理解，从而迷惑静态和动态分析工具。混淆技术加大了分析师的工作难度，并减少了恶意软件被检测的机会。

3. 模块化架构（Modular Architecture）

Necro 的设计采用了模块化架构，这使得它能够根据攻击者的需求下载并加载不同的功能模块。这种模块化结构不仅可以灵活扩展恶意软件的功能，还能在必要时执行特定的攻击任务。

Necro 使用的主要模块包括：

NProxy：该模块在受感染的设备上创建隧道（tunnel），用于从 C2 服务器与受害者设备之间传输数据。这个隧道可以绕过设备的网络限制，将攻击者的指令传递给设备或从设备中提取敏感信息。
Island：此模块负责生成伪随机数，用于在显示侵入性广告时设置间隔时间。广告内容可能通过其他模块实现，并通过伪随机数来控制其展示频率，从而避免被用户察觉。
Web：此模块的主要功能是与 C2 服务器保持联系，并在必要时以提升的权限执行任意代码。这个模块可以远程加载特定链接，并执行其中嵌入的 JavaScript 代码，进一步控制设备。
Cube SDK：这是一个辅助模块，用于处理广告内容的显示和加载其他插件。它在后台不断加载并运行广告相关的插件，增加设备的广告展示次数，产生经济利益。
Tap：Tap 模块通过从 C2 服务器下载任意的 JavaScript 代码并通过 WebView 进行渲染，能够在设备上秘密加载广告并与之交互。
Happy SDK / Jar SDK：这是一个将 NProxy 和 Web 模块结合在一起的模块，它通过简化的方式实现了前两者的功能，但针对不同的攻击场景做了一些优化。

这些模块相互配合，使得攻击者能够远程控制设备的不同功能。通过下载和执行额外的模块，Necro 可以根据设备的具体情况执行多种恶意操作，包括窃取数据、展示广告、安装其他恶意应用等。

4. 命令和控制 (C2) 服务器

Necro 的命令和控制服务器 (C2) 是攻击者与恶意软件之间通信的中枢系统。通过 C2 服务器，攻击者可以：

动态更新恶意软件的功能。
下载新的模块或插件。
从设备中提取敏感数据。
执行其他定制的攻击。

C2 服务器通过 HTTP/HTTPS 与受感染的设备进行通信，确保所有指令都能实时执行，并通过加密技术保护其通信链路，使其难以被拦截或分析。

5. 基于 WebView 的恶意行为

WebView 是 Android 中用于显示网页内容的组件，Necro 恶意软件利用 WebView 进行广告注入、自动点击广告、甚至远程执行 JavaScript 代码。具体步骤如下：

恶意软件在后台使用不可见的 WebView 窗口。
通过 WebView 加载恶意广告链接，或者在用户不知情的情况下执行代码。
该过程是完全自动化的，并且对用户不可见。

攻击者通过这种方式可以实现付费订阅、生成虚假点击流量等行为，从而获利。

6. 高级逃避检测技术

除了隐写术和混淆技术，Necro 还通过动态加载模块、规避静态检测、延迟执行恶意操作等手段进一步逃避防护软件的追踪。例如，恶意软件在感染设备后并不会立即执行恶意操作，而是通过动态下载有效载荷来进行攻击，这使得它能够绕过早期的检测机制。

攻击范围和影响

根据卡巴斯基的数据显示，2024 年 8 月 26 日至 9 月 15 日间，全球数万起 Necro 攻击被阻止，主要受影响的国家包括俄罗斯、巴西、越南、墨西哥和台湾等。尽管 Google Play 已移除这些恶意应用，但此类事件表明即使在官方应用商店下载应用程序，用户也并非完全免受威胁。

如何保护 Android 设备？

仅从官方渠道下载应用：Google Play 商店是相对较为安全的应用下载渠道，虽然也不能百分百避免恶意应用，但其安全审查机制较为完善。此外，避免从不受信任的第三方平台下载应用程序。
定期更新应用程序和系统：开发者通常会通过更新来修复漏洞并移除潜在的安全威胁。因此，保持应用和操作系统为最新版本可以减少被恶意软件攻击的机会。
使用安全防护软件：安装可信的防护软件，如卡巴斯基等，以检测并阻止恶意行为。同时开启 Google Play Protect，可以对下载的应用进行自动扫描。
检查应用权限：在安装应用时，注意其请求的权限。如果某个应用程序要求不合理的权限，例如一个简单的相机应用需要访问通讯录或地理位置，就需要提高警惕。
及时卸载不必要的应用：清理不再使用的应用程序，尤其是从未知来源安装的应用。保持设备上的应用数量精简，有助于减少安全风险。