前些日子被流氓软件骚扰,苦不堪言。终于看到有人解决了。
http://hi.baidu.com/galois21/blog/item/bf16daee834d59f3ce1b3ed5.html
android系统真的很好用,但随着市场扩大,冒出一些无良商家,为了获利,不惜冒身败名裂的风险。桌面互联网有3721为前车之鉴,移动互联却冒出了这么多个3721,不怕死的商家一个接一个,把消费者当傻瓜最终将被消费者的唾沫淹死。倡议大家抵制大众点评、游戏速递、Youni短信三款软件,包括最近又发现的京东商城。没有证据难以服众,以下是网友反映的罪证,罄竹难书,包括笔者也是大众点评和游戏速递的受害者。
大众点评、游戏快递、有你短信、京东商城流氓罪证
[链接若无法访问请尝试刷新后访问]
【大众点评】【游戏速递】[机锋论坛]关于大众点评和游戏速递这两个流氓软件
【大众点评】【游戏速递】[百度知道]htc g7总是自动安装大众点评和游戏速递
【大众点评】【游戏速递】[百度知道]我的三星i579最近自动下载一个“游戏速递”且自动安装,手机截屏后颜色失真,我曾经自己ROOT过权限
【大众点评】【游戏速递】【有你短信】【京东商城】[百度知道]大众点评 有你短信 游戏速递 自动安装 这些垃圾软件我一辈子都不会用
【游戏速递】[安卓网]流氓软件——游戏速递
【大众点评】[安卓网]“大众点评”是不是流氓软件?
【大众点评】【有你短信】[360求助]流氓软件、大众点评
【大众点评】【有你短信】[机锋论坛]悲剧,被youni短信给流氓了,又来了!这次是大众点评!!
【大众点评】【游戏速递】[安卓网]不知神马流氓经常暗自安装软件,如游戏速递,大众点评等
【大众点评】【游戏速递】[机锋论坛]最近被大众点评和游戏快递这些流氓软件烦死。
【大众点评】【有你短信】[受害者博客]安卓系统也会中招么
【京东商城】[受害者博客]又见流氓软件-京东商场
【大众点评】[凌族网]如何解决手机偷偷安装“大众点评”等流氓软件的问题?
【大众点评】【游戏速递】[优秀吧]群众点评和游戏速递这两个流氓软件
【游戏速递】[安极网]我嘞个去!还有这样的流氓啊
不完全统计(共26):大众点评:12次。 游戏速递:9次。有你短信:4次。京东商城:2次。
由于文章长度所限,用户反映的详细内容已整理至另一博文,如果以上链接失效,请访问查看另一博文:【附录】倡议:对流氓软件大众点评、游戏速递、Youni短信、京东商城以及背后灰色产业链进行全民讨伐
作为卓粉,如果你大概看完了以上罪证,且听笔者把话说完。
android流氓软件的成因暂时没有详细公认的调查结果,个人推断可能与以下三个环节有关:
1:第三方软件市场,比如android市场、安智市场等等。
2:一般出现状况的大多是root之后的手机上发生,而root工具参差不齐。包括C8650的root工具全部来自民间,也是就是说非权威软件,安全堪忧,如果这些民间个人作者为了获利采取这种手段,实是千夫所指。
3,RE管理器。因为一般root之后大多使用到了该工具删除厂家定制的软件,z4root多半开启了永久权限,而该工具使用时就获得了权限,以后一直拥有root权限,权限很大,不得不让人起疑。
以上仅个人分析,不具有任何权威可信度,对各家软件产生舆论上影响的风险不承担责任,读者可以自行判断,有谬误之处还望得到指正。
重点在大众点评、游戏速递、Youni短信、京东商城这四家软件,你们可以狡辩说是因为个人程序员的个人行为,与软件本身无关。但是,为什么其他软件都不装,无良程序员就要装你们的软件呢?是你们口碑好吗?任何人去搜搜游戏快递、有你短信是如何被人指责谩骂的。我有理由相信你们是绝对知情的,而且几乎是出资为这种流氓行径埋单的。退一步讲,不管你们知情与否,你们获得那么多的额外装机量,把一些不懂手机的用户成功营销掉了,你们获得大批利益,是不是应该出来澄清什么或者调查什么,而不是无动于衷?我不能绝对说你们有直接参与这起流氓事件,但是这条灰色产业链的看得见的一头是牵着你们的,你们绝对脱不了干系!
我很无奈沮丧地看到,360手机安全卫士对此无动于衷,金山手机安全卫士对此无动于衷,因为用户反映那些“所谓”的安全软件都不能解决这种严重的流氓问题,在用户不知情的情况下,自行使用流量下载,自行安装,自行启动,安全软件竟没看到!我不想细想其中动机,或者是技术不够,或者是睁一只眼闭一只眼,反正用户就是傻子,就是冤大头。我不知道这条链子上连着多少东西,有刻意维护的,有可刻意绕开的,有偷偷行事的。
我希望的是,如果这四家软件不能对这种流氓行径给出一个合理解释和一个好的解决办法,用户坚决抵制主动安装大众点评、游戏速递、Youni短信、京东商城这四款软件,用户找不到始作俑者,只知道你们四家受益了,就算是借刀杀人,被怂恿者也有义务找出真凶,还用户一个公道。
写作本文目的:倡议广大android用户坚决抵制主动安装大众点评、游戏速递、Youni短信、京东商城四款流氓软件,直到给用户一个公道。
我相信:一个流氓的产品,必定只能提供流氓霸道不公平的服务。如果涉及道德问题,那么其他一切都不值得相信。
最后,欢迎大家分享!传递给更多的人,以免被缺乏道德的企业蒙骗,今天流氓少部分人,等大家被它们的服务黏住的时候,大多数的用户就是刀俎下的鱼肉,任它宰割!
12月10日最新进展:最近的个人经历,因为曾经怀疑是RE管理器的问题,后来决定将RE管理器(也就是Root explorer)的永久root权限取消掉,之后好像没有出现类似现象。因为以前我们启动RE管理器后,RE管理器需要root权限,弹出权限请求对话框,默认“记住”是有打勾的,我们一般会采取默认记住,直接允许。也就是说,下次RE管理器可以自动获取root权限,不需要再次弹框(弹框如果不做选择,应用程序是无法启动的,这样就能限制流氓软件自启动执行高级权限)。
就像我们观察的一样,这种流氓安装方式很特别,正常程序是需要我们一步步安装的,也就是说必须要通过用户的知情情况下的指示才可能安装在用户电脑下,这是android系统的工作方式,如果有一个软件可以不被用户知情而自动安装,这是很少见的,但是linux内核对权限管理是非常严格,这和windows系统完全不同,出现这么大的流氓事件,肯定是用户不经意间将root权限轻易赋予某个恶意软件。基于这样的推理,我才将重点集中在拥有root权限的软件上,所以才有以前的3条推测。root权限角度讲,其中z4root和RE管理器嫌疑最大,另外基于这样的共识:国外的软件作者素质较高,而且国外这方面的法律健全(比如前阵子关于Carrier IQ的隐私风波),不大可能在其中内植入流氓行为,而且如上统计也发现,被流氓安装的软件都是中文软件,都是针对国内用户,也就是说,基本可以肯定是国内无良作者的行径。
但是z4root和RE管理器都是国外开发作者的,这就让人摸不到头脑了。别忘了,我们所用的z4root和RE管理器可不是国外大神的神作,因为汉化,大家都知道apk文件其实是裸露的,而且在apk上做汉化以及植入都不困难(相对windows系统上用的软件),所以,我个人认为是汉化后的软件出了猫腻。z4root的汉化大多数人都在用,而且个人经历发现,z4root这种软件出现问题可能性不大,如果有问题,想必大家都被流氓了。那基本上就是RE管理器的问题了,我最近在安智市场上下载的所谓汉化RE管理器是安智汉化组www.anzhi.com 的作品,而且几天内遭遇两次流氓安装,软件是云中书城(盛大的软件很多啊)和银联手机支付,之前我也用过一款汉化的2.17.2版本的RE管理器,但是没用出现流氓问题,早期使用RE管理器2.17.2英文版也没问题,换了这个就频繁遭殃,这不得不让人生疑。之前我写作本文时遭殃也使用了汉化的RE管理器,所以在这里说明我的推测:汉化版RE管理器很可能是流氓的主要症结。
建议解决方案:
1,使用英文版RE管理器。
2,如果很需要汉化版的话,可以这样做,打开“授权管理”软件,将RE管理器的权限选择“忘记”(按住RE管理器,在弹出对话框里选择“忘记”)。记住下次启动RE管理器,它申请权限的时候,记住去掉前面的勾勾,然后点允许,这样每次使用RE管理器都得这么操作,虽然繁琐但安全保险,而且事实上RE管理器我们一般不常常用到。
3.卸载RE管理器。这个是完全可行的,因为大多数人用RE管理器是删除定制软件,删除得差不多了就可以卸了这个软件,没有什么大用处,而文件管理大家都用ES文件管理器,我们实在不想过河拆桥但这个软件实在让人信不过。
最后应对流氓软件的一个很重要原则:坚决不要放弃你手上的权限管理权力,不要随便给root权限给信不过的程序,尤其不要给永久权限,可以适当给临时root权限。android系统是基于linux内核,而linux的ext文件系统安全性胜过windows的NTFS百倍,所以本身的安全性毋庸置疑,出现问题很可能是因为用户的无知成了流氓的小菜,切记,切记。
以上是近期关于这个问题的进展,期待博友的质疑和验证,很高兴得到广大博友的反馈,如果问题因为以上推测得到解决,我将不胜荣幸,反之,欢迎纠正!
12月19日最新进展 :今天竟然躺着也能中枪!换了RE管理器,并且取消了永久权限,依然被“游戏速递”流氓到了。新的观察正在进行中,关于网友提出的google update的问题,我觉得不大可能,这个问题不是所有android机器有的,也不是所有具有root权限的android系统都出现的,而且我个人绝对不相信google会是流氓,否认google就是否认android,android的代码受全世界检查,转移到android身上,我确实无法相信。
愿意为大家做贡献的朋友们,建议使用安全管家,因为安全管家的熄屏监控功能能检测到在屏幕黑掉这段时间,有哪些软件进行了流量获取,因为流氓软件安装包都是通过网络下载的。如果突然发现多了没主动安装过的流氓软件,请一定关注安全管家的运行记录,由于流氓行为不定时,一个人力量有限,希望有心的朋友加入寻找的行列。衷心希望有所斩获的博友能在博客留言揭露,代表被流氓的受害者之一表示深深感谢。我们一定要将流氓软件的根源连根拔起!
12月24日重大进展:今天上网看到博客被评论10多次的消息,忙打开看,真的很高兴博友的关注。这里先说我最近的发现(重头戏当然在最后了):
1、安全管家熄屏监控功能无法奏效。我个人装上安全管家后几日,被京东商城流氓安装,于是欣然打开监控记录。如下图

让我无语的是,毫无进展。没有出现异常程序获取高额流量,我在安卓市场上查看到京东商城的apk大概是1.35M,所以这个流氓行文肯定绕过了监控软件,这个更让我觉得诡异了,基本上认为绝对不是正常流氓软件做的,而且非常强大。
2、最近发现的新增流氓软件——当当网、银联、盛大切客和云中书城(很奇怪流氓软件中盛大的产品占比例还不小,前面的有你短信和这里的盛大切、客云中书城都是盛大产品,原来盛大移动的营销部是成天干这个的啊,真讽刺!)
3、近期流氓行特别猖獗,我想可能是购物高峰期快到了,圣诞和元旦就要来了。像当当网和京东商城这两个软件的流氓安装格外活跃,强烈鄙视!
接下是博友提供的资料,因为是在评论中,显得比较零散,作者仅做简单整理,资料层层深入,并附上个人验证截图,可以选择性浏览。(感谢impliu,ExVita等博友提供)
1、首先,这是一种病毒,名为DroidKungFu。先看相关报道,预热,做个了解:
http://www.evolife.cn/html/2011/59711.html
http://android.a2.cn/news/201106/info_669.html
http://www.fpwap.com/article/page/2882.html
http://www.oc.com.tw/readvarticlen.asp?id=23788(繁简转换请使用hao123工具:http://www.hao123.com/haoserver/jianfanzh.htm)
2、关于这个病毒更加技术性分析如下:(不过都是英文,话说这个病毒最早是被美国北卡罗莱纳州立大学发现的,看来外国人还是比较厉害一点,咱自个儿撞块豆腐惭愧下就算了)
http://www.f-secure.com/v-descs/trojan_android_droidkungfu_c.shtml
http://www.csc.ncsu.edu/faculty/jiang/DroidKungFu3/
http://www.cs.ncsu.edu/faculty/jiang/DroidKungFu2/
http://www.cs.ncsu.edu/faculty/jiang/DroidKungFu.html
3、给一点大家能看懂的文字
以下是两个杀毒软件麦咖啡和趋势科技提供的该病毒资料:
趋势科技:http://about-threats.trendmicro.com/Malware.aspx?language=uk&name=ANDROIDOS_KUNGFU.CI 个人翻译:
技术细节
文件大小: 1196293字节
文件类型: APK
有效载荷:危害系统的安全性,连接到URL / IPS,窃取信息
这个间谍软件可能是由用户手动安装。
注意事项:
它通过一个木马版本的Android应用程序一键Vpn(一键翻墙)安装 。
它收集以下信息,并将其写入到文件/system/etc /.rild_cfg:
Android版本号
手机品牌名
设备ID(用于GSM的IMEI)
手机的型号名
框架的SDK版本
字符串cvpn072
注:笔者被流氓的.rild_cfg如图
, 基本吻合,只是字符串不是cvpn072。(拨号界面按*#*#4636#*#*可查看IMEI号)
1、它先解码在恶意软件的APK文件中自己文件夹内的WebView.db.init文件,并保存解密后的版本复制为/system/etc/.dhcpcd文件和/system/xbin/ccb文件。 然后,它改变它自己产下病毒文件/system/xbin/ccb的权限为:对文件拥有者为读、写、执行,对其他用户为读、执行。 接着,它会执行/system/xbin/ccb文件 。
2、它结束掉系统正常的进程 /system/bin/installd 和and /system/bin/dhcpcd 。 然后分别复制/system/bin/installd 和 /system/bin/dhcpcd 到 /system/bin/installdd 和 /system/bin/dhcpcdd,作为备份。 然后,它通过执行/system/xbin/ccb文件来重写系统原来的正常核心文件 /system/bin/installd 和/system/bin/dhcpcd。
3、它创建文件/data/dhcpcd.lock作为标记,以表明它已经开始与它的的C&C的服务器进行通信。 然后,它连接到下面的C&C服务器接收后门命令:
http:// {BLOCKED} H. {BLOCKED} android.com:8511/search /
http:// {BLOCKED} H. {BLOCKED} 8.com:8511/search /
http:// {BLOCKED} H. {BLOCKED} 9.com:8511/search /
它可能会收到以下后门命令:
下载文件 / 执行一个应用程序 / 安装APK文件 /自我更新
麦咖啡:http://home.mcafee.com/virusinfo/virusprofile.aspx?key=692642#none 个人翻译:
病毒的特性
Android / DroidKungFu.G是分布在apk文件内部。 它注入一个分类广告计算器。
Android / DroidKungFu.G需要root权限才能运行。 但应用程序其他开发代码不需要root权限。 它无法运行在没有获得root权限的设备上。 它的目标基本上都是root过的设备。
但受感染的应用程序需要root权限,它会显示对话框要求root权限运行。 如果用户想使用这个应用程序,用户将越狱他们的设备,获得root权限。 因此,运行恶意软件的几率会很高。
如果它成功获取root权限,它会执行下列指令:
1、检索设备信息,并保存为“mycfg.ini”。
2、复制“mycfg.ini”到”/system/etc/.rild_cfg”。
3、使用AES加密法解密“Webview.db.init”文件,密码为”Stak_yExy-eLt!Pw”,解密后文件为“Webview.db”。
4、复制“Webview.db”文件到”/system/etc/dhcpcd” 和 ”/system/xbin/ccb”。
“Webview.db”是ELF二进制文件。 它和Android / DroidKungFu.F里的Webview.db文件是一样的。
“Webview.db”根据外部服务器的指令有以下的后门功能:安装的APK / 卸载APK / 启动应用程序
“Webview.db”有代码可以传输设备IMEI码、未知参数、是否root的root状态、etc配置文件到以下列外部网站:http://search.[Censored].com:8511/search/isavaible.php
上面的分析已经基本结束,细心博友能发现在材料说明中提到的被改动文件在受害者的android手机中的日期都很近。是的,因为系统安装或者刷机一般是最早的,应用程序的日期肯定延后,但是一般system里面的文件是系统文件,而且对普通用户只用读权限,是不可改的,也就是说这里的文件基本上都一个日期,也就是刷机的日期!但是被病毒感染的system里的文件就不是了刷机的日期了。从趋势科技的材料中看到,一共被感染的有8个文件:
/system/etc/.rild_cfg
/system/etc/.dhcpcd
/system/xbin/ccb
/system/bin/installd 和 /system/bin/dhcpcd
/system/bin/installdd 和 /system/bin/dhcpcdd
/data/dhcpcd.lock
以下是笔者手机截图的说明:
/system/etc /.rild_cfg和/system/etc/.dhcpcd

/system/xbin/ccb

/system/bin/dhcpcd 和 /system/bin/dhcpcdd

/system/bin/installd 和/system/bin/installdd

/data/dhcpcd.lock

上组图大概看到笔者是10月12日刷的机,10月29日中的毒,之后12月4号(/system/etc/.dhcpcd日期)病毒做了一次更新,这就是分析的异常结果,恰恰是中毒的症状。如果你的android手机也出现类似的异常情况,八成也是中了这毒了。看看趋势科技材料说的病毒行为,就知道怎么做人工修复了,目前好像还没好的杀毒软件能处理这个毒,所以人工修复是最可能最实际的做法了。
修复方法:
/system/xbin/ccb———–病毒文件,删掉
/system/etc/.dhcpcd———病毒文件,删掉
/system/etc/.rild_cfg———病毒文件,删掉
/system/bin/installd—–病毒文件 ,删掉,还有一个叫 installdd是系统原来正常的文件,把文件名改回installd
/system/bin/dhcpcd——病毒文件,删掉,还有一个叫 dhcpcdd是系统原来正常的文件,把文件名改回dhcpcd(这一定是有好习惯的程序员黑客,知道不忘把源文件备份一份,要不咱还得到处去下载没病毒的系统文件了)
以上是http://bbs.hiapk.com/thread-3009132-1-1.html提供的解决方法,博主另加一条,很显然:
/data/dhcpcd.lock———–病毒文件,删掉
至于怎么删除系统文件,我想root过机器的人一定是删过定制软件的,方法差不多,RE管理器先挂载目录读写,修改文件权限(RE管理器长按文件——“权限”——上面9个全打钩)后再删除或修改文件名,这篇文章已经码字很长了,在删除上面遇到问题的可以去博文(安卓流氓软件大众点评、游戏快递、有你短信、京东商城、当当网、盛大切客的解决办法)看看详细步骤,删除上遇到的问题也不少,有其他问题可以留言反馈。
悬着这么久的问题终于告一段落,是该好好坐下喝杯茶安心玩手机了。如无意外就不再更新了,想必本文也快做结了,还是那句话,欢迎转载,如有什么问题博友可以留言反映。最后,祝愿大家平安夜快乐,未来的日子平平安安,一生幸福!