一、事件背景

2018年3月14日，国外安全厂商Checkpoint发布报告，声称自2016年来近500万手机设备感染了名为RottenSys的恶意代码，并且指出包括华为、OPPO、vivo、魅族、金立等在内的国产手机设备被感染。随后国内科技媒体进行也了广泛的翻译和转载。鉴于此，安天移动安全进行了深入的分析。

二、样本基本信息

典型样本信息如下：
恶意行为描述：

该程序包含风险代码，可在后台私自下载恶意插件并静默安装，进行远程控制命令以及对用户手机进行root，从而频繁推送广告并进行应用分发。消耗用户流量资费，影响用户体验。

三、详细分析

安天移动安全分析得出，该恶意软件家族进行了明显的技术升级，进行了较强的技术对抗。攻击手段主要分两个阶段：第一阶段只是单纯的私自下载恶意广告插件，推送广告；第二阶段植入了提权功能，可加载提权代码、获取root权限、执行lua脚本，形成僵尸网络，同时还抹去了文件生成时间和进行文件拆分，以防止分析人员进行深入关联。

攻击流程示意图如下：

恶意代码文件结构如下图所示：

获取root方案的地址为www.uuyttrtf.com:880 ，注册证邮箱为haitaozhou15@gmail.com，注册时间为2016年7月（这与安天移动安全捕获和查杀该样本的时间保持一致）。恶意代码上传设备信息获取root方案之后，将不断进行尝试，一旦获取root权限，则继续从该网址获取lua脚本，并且进行执行，生成僵尸网络，以及根据指令进行下一步的恶意行为。此外，我们进行了深度关联分析，得到其家族部分CC如下：

从中我们可以看到该恶意代码的工作准备从2016年初就开始进行，到2016年9月，整个黑色产业团伙处于尝试阶段，仅进行域名注册、恶意代码植入等前期准备工作，并没有大规模的进行恶意攻击，此后开始逐步感染并形成了两次感染高峰。具体事件时间轴如下图所示。

四、安天解读

该恶意软件家族整体生存周期较长，自2016年1月，其背后的黑产团伙便开始注册域名并准备相应的攻击活动。从数据上来看，该恶意软件家族累积感染量达到百万级别，受害面较广。不过，以安天移动安全为代表的安全厂商在病毒出现初期就已具备检测能力，并且安天移动安全已与国内主流手机厂商在移动终端病毒检测与防护方面进行合作，国内主流手机厂商均具备对该恶意软件的检测和防护能力。

同时该恶意软件家族活跃和对抗周期较长，所谓的“感染500万”台设备并不是在短期完成的，其时间跨度接近两年，通过安天移动安全的终端监控情况来看，总体的设备感染量级达到百万级别。同时我们在手机出厂ROM和应用市场渠道中并未发现大规模感染数据，这说明主要问题出现在手机销售流通环节。

渠道中的刷机和非法预装是智能手机行业面临的较大挑战，各大手机厂商及安全公司综合运营技术、管理、法律等手段加强对渠道的管理，并且在2017年，泰尔实验室、OEM厂商、安全厂商等联合成立移动安全联盟（MSA），以联合各方力量，加强移动终端安全，共同保护消费者权益。

最后，我们在此希望海外相关安全机构能够更加公正、客观、严谨地描述中国移动产业的安全状况，切勿夸大事实，造成消费者恐慌。

*本文作者：AVLTeam，转载请注明来自FreeBuf.COM