阻止取消激活設備管理器-hitcon

1、Android頑固木馬常見手法與清理,zmworm,01,Android如何卸載應用?,,Android卸載模塊,,,init.rcservice installd /systme/bin/installd class main socket installd stream 600 systme system,installd,PackageManagerService,PackageInstaller.apkget

2、PackageManager().deletePackag,,,,socket,02,Fobus,,Fobus演示動畫,,,強制注冊設備管理器,,注冊設備管理器,接收取消設備管理器成功消息,不斷彈出激活管理器代碼,,,強制注冊設備管理器,,監(jiān)聽廣播,接收取消設備管理器成功消息,不斷彈出激活管理器代碼,,,阻止取消激活設備管理器,,,監(jiān)聽廣播,不斷Home或調(diào)用其他界面,鎖屏,接收點擊取消激活設備管理器消息,,,,Fobus清

3、除方法,,,Fobus清除方法,Fobus清除方法,取消系統(tǒng)鎖屏服務,禁止鎖屏,,Fobus清除方法,若取消激活界面不在前臺，則將此界面移到前臺,,Fobus清除方法,若前臺界面為激活窗口，則彈出卸載界面卸載Fobus,,Fobus演示動畫二,,,阻止取消激活設備管理器,調(diào)用一個全屏的懸浮窗、并屏蔽所有按鍵消息,,Fobus清除方法,停掉Fobus導出的服務，并殺死后臺進程,,03,Kaka & BankRobber,,Kaka

4、演示動畫,,,漏洞說明,,,DeviceAdminSettings.java,,與Obad利用漏洞相同影響4.2及以下系統(tǒng),KaKa行為識別,,,BankRobber演示動畫,,,BankRobber行為識別,,啟動服務監(jiān)聽logcat，當進入特殊界面后返回桌面,04,Simplelocker,,SimpleLocker演示動畫,,,阻止用戶卸載,,每隔2秒彈出全屏窗口阻止用戶操作,,AES加密文檔,,加密以下格式文檔(不用專殺怎么

5、解密,價格多少),,SimpleLocker的清除,循環(huán)判斷，若前臺界面為SimpleLocker界面，則調(diào)用卸載界面,,SimpleLocker的清除,掃描被加密的文件（.enc后綴）,,SimpleLocker的清除,解密SD卡上的加密文件,,05,小結(jié),,頑固木馬小結(jié),,,非ROOT的頑固木馬主要圍繞以下幾點：設備管理器logcat彈窗數(shù)據(jù),頑固木馬的自動化識別,模擬卸載監(jiān)控設備管理器添加行為將APP切換后臺時