.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
一種名為“SoumniBot”的新Android 銀行惡意軟件通過利用Android 清單提取和解析過程中的弱點，使用了新的混淆方法。
該方法使SoumniBot 能夠規避Android 手機中的標準安全措施並執行信息竊取操作。
研究人員發現並分析後提供了該惡意軟件利用Android 例程解析和提取APK 清單的方法的技術細節。
欺騙Android 的解析器清單文件（“AndroidManifest.xml”）位於每個應用程序的根目錄中，包含有關組件（服務、廣播接收器、內容提供程序）、權限和應用程序數據的詳細信息。
雖然惡意APK 可以使用Zimperium 的各種壓縮技巧來愚弄安全工具並逃避分析，但分析師發現SoumniBot 使用了三種不同的方法來繞過解析器檢查，其中涉及操縱清單文件的壓縮和大小。
首先，SoumniBot 在解壓APK 的清單文件時使用無效的壓縮值，該值與負責該角色的Android“libziparchive”庫預期的標準值（0 或8）不同。
Android APK 解析器不會將這些值視為不可接受，而是默認將數據識別為由於錯誤而未壓縮，從而允許APK 繞過安全檢查並繼續在設備上執行。
從APK 中提取清單文件
第二種方法涉及錯誤報告APK 中清單文件的大小，提供大於實際數字的值。
由於該文件在上一步中已被標記為未壓縮，因此直接從存檔中復制該文件，並用垃圾“覆蓋”數據填充差異。
雖然這些額外的數據不會直接損害設備，但它在混淆代碼分析工具方面發揮著至關重要的作用。
報告錯誤的文件大小
第三種規避技術是在清單文件中使用非常長的字符串作為XML 命名空間的名稱，這使得自動分析工具很難檢查到它們，而自動分析工具通常缺乏足夠的內存來處理它們。
清單中的長字符串
Android 官方分析實用程序APK 分析器無法使用上述規避方法處理文件。
SoumniBot 威脅啟動後，SoumniBot 從硬編碼服務器地址請求其配置參數，並發送受感染設備的分析信息，包括編號、運營商等。
接下來，它會啟動一個惡意服務，如果停止，該服務每16 分鐘就會重新啟動一次，並每15 秒傳輸一次從受害者那裡竊取的數據。
洩露的詳細信息包括IP 地址、聯繫人列表、帳戶詳細信息、短信、照片、視頻和網上銀行數字證書。數據洩露由惡意軟件通過MQTT 服務器接收的命令控制，這些命令還對以下功能進行排序：
马云惹不起马云刪除現有聯繫人或添加新聯繫人
马云惹不起马云發送短信（轉發）
马云惹不起马云設置鈴聲音量
马云惹不起马云打開或關閉靜音模式
马云惹不起马云打開或關閉設備上的調試模式
目前尚不清楚SoumniBot 如何到達設備，但方法可能有所不同，從通過第三方Android 商店和不安全網站分發到使用受信任存儲庫中的惡意代碼更新合法應用程序。
SoumniBot 主要針對韓國用戶，與許多惡意Android 應用程序一樣，它在安裝後隱藏其圖標，使其更難以刪除。其實，它在後台仍然活躍，並從受害者處上傳數據。