移動(dòng)惡意代碼的關(guān)聯(lián)與追蹤

移動(dòng)惡意代碼的關(guān)聯(lián)與追蹤安天實(shí)驗(yàn)室提綱現(xiàn)狀案例關(guān)聯(lián)演變和追蹤挑戰(zhàn)與未來移動(dòng)惡意代碼的數(shù)據(jù)現(xiàn)狀移動(dòng)惡意代碼的一個(gè)演進(jìn)的案例移動(dòng)惡意代碼的一個(gè)演進(jìn)的案例目標(biāo)：Trojan/Android.KungFu系列家族家族族譜第一代Trojan/Android.Kungfu.a[rmt]第二代Trojan/Android.Kungfu.b[rmt]Trojan/Android.Kungfu.c[rmt]第三代Trojan/Android.Kungfu.d[rmt]Trojan/Android.Kungfu.h[rmt]移動(dòng)惡意代碼的一個(gè)演進(jìn)的案例第一代祖先代表：Trojan/Android.KungFu.a[rmt]第一代Trojan/Android.Kungfu.a[rmt]第二代第三代惡意代碼自啟動(dòng)惡意代碼功能實(shí)現(xiàn)提升root權(quán)限心跳，并上傳隱私定時(shí)輪訓(xùn)指令服務(wù)器并執(zhí)行家族基因捆綁形態(tài)AES密鑰遠(yuǎn)控服務(wù)器地址代碼分布方式Root提權(quán)模塊移動(dòng)惡意代碼的一個(gè)演進(jìn)的案例第二代祖先代表：Trojan/Android.KungFu.b[rmt]第二代Trojan/Android.Kungfu.b[rmt]第二代第三代惡意代碼自啟動(dòng)惡意代碼服務(wù)功能相關(guān)數(shù)據(jù)寫入本地文件mycfg.ini家族基因捆綁形態(tài)AES密鑰遠(yuǎn)控服務(wù)器地址代碼分布方式惡意代碼功能模塊實(shí)現(xiàn)訪問遠(yuǎn)程指令控制服務(wù)器，獲取并執(zhí)行指令移動(dòng)惡意代碼的一個(gè)演進(jìn)的案例第三代祖先代表：Trojan/Android.KungFu.h[rmt]第三代Trojan/Android.KungFu2.a[rmt]第二代第三代惡意代碼服務(wù)代碼，激活惡意代碼功能模塊家族基因捆綁形態(tài)AES密鑰遠(yuǎn)控服務(wù)器地址代碼分布方式惡意代碼服務(wù)代碼，激活惡意代碼功能模塊移動(dòng)惡意代碼的一個(gè)演進(jìn)的案例家族基因的橫向比對(duì)第一代第二代第三代

isavaible.phpisavaible.phpisavaible.php

逐字節(jié)求反捆綁到正常應(yīng)用中，偽裝為googlesearch服務(wù)捆綁到正常應(yīng)用中，偽裝為正常應(yīng)用一部分捆綁到正常應(yīng)用中，偽裝為廣告件編寫Android惡意代碼Android代碼部分完成自啟動(dòng)和功能激活惡意代碼功能實(shí)現(xiàn)在Linuxelf模塊中替換系統(tǒng)自啟動(dòng)程序Android代碼部分完成自啟動(dòng)和功能激活惡意代碼功能實(shí)現(xiàn)在Linuxelf模塊中替換系統(tǒng)自啟動(dòng)程序Linuxelf模塊采用多種方式隱藏（圖片尾部，數(shù)據(jù)段）代碼結(jié)構(gòu)密鑰資源網(wǎng)絡(luò)資源形態(tài)特點(diǎn)惡意機(jī)理移動(dòng)惡意代碼的關(guān)聯(lián)移動(dòng)惡意代碼的典型形態(tài)的層次程序安裝包安裝包（sisx，apk，xap，ipa，jar）證書信息安裝信息程序代碼epoc，dex，pe，mach-o，class，elf……程序資源網(wǎng)絡(luò)URL關(guān)鍵數(shù)據(jù)移動(dòng)惡意代碼的關(guān)聯(lián)——安裝級(jí)別Trojan/Symbian.CReadMe.a[pay]正常應(yīng)用節(jié)惡意捆綁節(jié)移動(dòng)惡意代碼的關(guān)聯(lián)——代碼級(jí)別Trojan/Android.FakeInst.b[pay,fra]代碼進(jìn)行了符號(hào)級(jí)別混淆代碼流程級(jí)別移動(dòng)惡意代碼的關(guān)聯(lián)——代碼級(jí)別Trojan/Android.FakeInst.b[pay,fra]代碼級(jí)別的關(guān)聯(lián)移動(dòng)惡意代碼的關(guān)聯(lián)——代碼級(jí)別Trojan/Android.FakeInst.b[pay,fra]代碼級(jí)別關(guān)聯(lián)移動(dòng)惡意代碼的關(guān)聯(lián)——代碼級(jí)別Trojan/Android.FakeInst.b[pay,fra]代碼級(jí)別關(guān)聯(lián)（預(yù)處理之后）移動(dòng)惡意代碼的關(guān)聯(lián)——資源級(jí)別Trojan/Android.Adrd.a[exp]移動(dòng)惡意代碼的關(guān)聯(lián)——資源級(jí)別tymx123移動(dòng)惡意代碼的關(guān)聯(lián)——資源級(jí)別被追蹤者的反應(yīng)移動(dòng)惡意代碼的演變和追蹤移動(dòng)惡意代碼的關(guān)聯(lián)與追蹤移動(dòng)惡意代碼的關(guān)聯(lián)與追蹤移動(dòng)惡意代碼的關(guān)聯(lián)與追蹤移動(dòng)惡意代碼的關(guān)聯(lián)與追蹤移動(dòng)惡意代碼的關(guān)聯(lián)與追蹤移動(dòng)安全的挑戰(zhàn)與未來Next移動(dòng)惡意代碼的演變和追蹤—行為和形態(tài)惡作劇型惡意代碼流氓型惡意代碼惡意程序早期形態(tài)20102005200620072008200920112012扣費(fèi)型惡意代碼資費(fèi)消耗，隱私竊取應(yīng)用分發(fā)和遠(yuǎn)程控制惡意程序捆綁，功能復(fù)雜化惡意程序隱藏，混淆抗分析惡意程序?qū)ふ倚碌哪怖绞揭苿?dòng)惡意代碼的演變和追蹤——技術(shù)機(jī)理摸索惡意代碼技術(shù)，形態(tài)，機(jī)理后臺(tái)自動(dòng)發(fā)送短信，屏蔽短信，應(yīng)用捆綁和自啟動(dòng)摸索20102005200620072008200920112012Android的自啟動(dòng)，扣費(fèi)和后臺(tái)屏蔽短信等Android上利用LinuxELF實(shí)現(xiàn)主要惡意行為，并利用ELF實(shí)現(xiàn)隱藏，挖掘出DEXloader技術(shù)充分利用ELF特點(diǎn)，反向調(diào)用準(zhǔn)備思考人生嘗試更多的隱藏，混淆，加密？移動(dòng)惡意代碼的演變和追蹤Symbian應(yīng)用級(jí)別Symbian文件級(jí)別起步20102005200620072008200920112012Android應(yīng)用級(jí)別Android文件級(jí)別Android系統(tǒng)級(jí)別傳承創(chuàng)造發(fā)展Android更深的層次挑戰(zhàn)與未來移動(dòng)安全的挑戰(zhàn)與未來演變速度極快惡意行為機(jī)理（1個(gè)季度超過6次變化）惡意牟利方式惡意代碼形態(tài)和編寫技術(shù)