第三方SDK暗刷流量的取證分析與應(yīng)用

李佳斌 裴洪卿 鄭雄 孫艷賓 汪藍(lán)

1. 浙江省杭州市公安局西湖區(qū)分局 2. 杭州平航科技有限公司

引言

隨著移動(dòng)互聯(lián)網(wǎng)的發(fā)展，出現(xiàn)了一條暗刷流量的網(wǎng)絡(luò)灰色產(chǎn)業(yè)鏈，暗刷流量指手機(jī)未經(jīng)使用者的主動(dòng)使用操作，而會(huì)在系統(tǒng)后臺暗自訪問網(wǎng)站或進(jìn)行數(shù)據(jù)傳輸，下載或者打開某個(gè)APP，從而達(dá)到提高目標(biāo)網(wǎng)站訪問流量、增加活躍度等目的。這些行為可能是由于手機(jī)安裝了某些APP應(yīng)用程序，由其暗自運(yùn)行的行為，也有可能是一些系統(tǒng)刷機(jī)包內(nèi)置后門程序觸發(fā)產(chǎn)生的行為。而各類APP及網(wǎng)站等都需要大量的流量實(shí)現(xiàn)盈利，例如注冊量、點(diǎn)擊量等，更為常見的還有電商刷單炒信行為，高流量意味著高點(diǎn)擊率以及高關(guān)注率，有了高流量，應(yīng)用排行榜排名就會(huì)靠前，就會(huì)有更多的人群予以關(guān)注，從而擴(kuò)大市場影響，帶來商業(yè)上的豐厚回報(bào)。由于供需關(guān)系的影響，網(wǎng)絡(luò)流量暗刷就形成了一條完整的產(chǎn)業(yè)鏈。網(wǎng)絡(luò)暗刷的實(shí)現(xiàn)方式包括通過代碼程序模擬用戶訪問行為的“機(jī)刷”和借助在其他APP、廣告中植入JS暗刷點(diǎn)擊代碼，通過基于SDK增加其自身產(chǎn)品的訪問量并不被手機(jī)使用者知曉的“JS暗刷”。本文針對常見的SDK中植入JS暗刷行為代碼進(jìn)行分析研究。

一、SDK簡介

SDK是Software Development Kit的縮寫，即“軟件開發(fā)工具包”，SDK一般是封裝某些特定功能（常見的比如：賬號管理、支付、推送、統(tǒng)計(jì)等等）的程序組件，第三方SDK主要指軟件開發(fā)人員所使用的第三方服務(wù)商所提供的可實(shí)現(xiàn)軟件某些特定功能或接口的軟件包、軟件框架、硬件平臺、操作系統(tǒng)等開發(fā)工具的集合（工具包）。如Google提供Android系統(tǒng)專屬的開發(fā)工具，即Android SDK。由于Android系統(tǒng)擁有龐大的用戶群體，而且每天都有大量的Android應(yīng)用程序被發(fā)布到各大應(yīng)用市場，例如應(yīng)用寶、豌豆莢等。為了縮短開發(fā)時(shí)間和提高開發(fā)效率，Android應(yīng)用開發(fā)人員一般只會(huì)開發(fā)核心功能而很少自主開發(fā)應(yīng)用程序中所有的功能，非核心功能就可以通過使用第三方服務(wù)提供商提供的SDK來實(shí)現(xiàn)，例如廣告推送、數(shù)據(jù)統(tǒng)計(jì)、社交網(wǎng)絡(luò)、地圖和信息推送平臺。

第三方服務(wù)提供商在其SDK中封裝了復(fù)雜的代碼邏輯以及請求響應(yīng)的過程，但同時(shí)提供調(diào)用該SDK的使用說明文檔，因此應(yīng)用開發(fā)人員并不需要了解SDK內(nèi)部的邏輯原理，即可以根據(jù)文檔集成SDK的功能。因此第三方SDK逐漸成為Android生態(tài)系統(tǒng)的重要組成部分，但基于這種快速開發(fā)模式，使第三方SDK在信息安全方面埋下了隱患。

（一）SDK的調(diào)用流程

第三方SDK通常都會(huì)根據(jù)自身的服務(wù)內(nèi)容向開發(fā)人員提供調(diào)用說明和演示信息。以消息推送類的業(yè)務(wù)為例，如圖1所示。根據(jù)SDK的調(diào)用流程，可以發(fā)現(xiàn)其嵌入APP后，會(huì)與業(yè)務(wù)服務(wù)器進(jìn)行數(shù)據(jù)交互，進(jìn)而實(shí)現(xiàn)消息推送功能。因此我們可以通過對SDK的逆向分析發(fā)現(xiàn)其連接的服務(wù)器以及針對通訊行為進(jìn)行分析，可以還原其實(shí)現(xiàn)流程進(jìn)而從中尋找與此類行為有關(guān)的內(nèi)在特點(diǎn)。

（二）Andriod SDK文件的分析方法

Andriod SDK文件主要為jar格式，是一種常見的軟件包文件格式，通常用于聚合大量的Java類文件、相關(guān)的元數(shù)據(jù)和資源（文本、圖片等）文件，并將這些整合到一個(gè)文件中，以便開發(fā)Java平臺應(yīng)用軟件或庫。

一個(gè)Android應(yīng)用程序的代碼要在Android設(shè)備上運(yùn)行，必須先進(jìn)行編譯，然后被打包成為一個(gè)被Android系統(tǒng)所能識別的文件才可以被運(yùn)行，而這種能被Android系統(tǒng)識別并運(yùn)行的文件格式便是APK文件，APK文件作為Android操作系統(tǒng)最廣泛使用的一種應(yīng)用程序包文件格式，用于分發(fā)和安裝移動(dòng)應(yīng)用及中間件。一個(gè)APK文件內(nèi)包含被編譯的代碼文件（.dex文件）、文件資源（Resources）、原生資源文件（Assets）、簽名證書（Certificates）和清單文件（Manifest文件）。APK文件可以通過使用逆向工具Jadxgui打開并對其文件結(jié)構(gòu)和內(nèi)容進(jìn)行查看分析。

由于SDK的jar文件需要嵌入APK文件中，因此通常都提供嵌入使用的說明文檔或者開發(fā)手冊，文檔手冊中也會(huì)包含SDK所需系統(tǒng)或應(yīng)用權(quán)限等內(nèi)容，這些權(quán)限的說明也有利于后續(xù)分析APK的權(quán)限范圍和細(xì)節(jié)，如圖2所示。

以廣告類SDK為例，在實(shí)際使用場景中，廣告推送服務(wù)并不需要很多或者很高級別的權(quán)限要求，只要能夠連接網(wǎng)絡(luò)、寫入數(shù)據(jù)即可，即便如此也可以實(shí)現(xiàn)在手機(jī)用戶不知情的情況下，通過后臺模擬人工點(diǎn)擊廣告鏈接進(jìn)行牟利。在這種情況下則需要對該APP的網(wǎng)絡(luò)通訊行為以及相關(guān)數(shù)據(jù)進(jìn)行甄別分析。

如果是一些惡意收集手機(jī)信息的SDK或應(yīng)用，則會(huì)申請?jiān)L問通訊錄、短信、硬件等信息的權(quán)限。如果是木馬類程序，則會(huì)申請更多的敏感權(quán)限，如申請讀取、寫入、發(fā)送、刪除短信權(quán)限，再結(jié)合程序邏輯，可用以攔截短信驗(yàn)證碼，或者發(fā)送申請驗(yàn)證碼的短信。因此分析應(yīng)用的權(quán)限對于安卓應(yīng)用的取證分析非常重要。

本文介紹了環(huán)境工程本科生在水處理綜合實(shí)驗(yàn)中探究式實(shí)驗(yàn)的開展和評價(jià)。通過評價(jià)問卷的統(tǒng)計(jì)分析,對傳統(tǒng)實(shí)驗(yàn)與探究式實(shí)驗(yàn)在提高學(xué)習(xí)效果方面進(jìn)行了比較,對探究式實(shí)驗(yàn)的有效性做出評價(jià)。

通過對比分析某短信攔截木馬應(yīng)用所申請的權(quán)限發(fā)現(xiàn)，實(shí)現(xiàn)特定功能時(shí)，必須要向安卓系統(tǒng)申請相應(yīng)權(quán)限，但是廣告類SDK僅需要訪問網(wǎng)絡(luò)等基礎(chǔ)權(quán)限即可，需要授予的權(quán)限較少且較為基礎(chǔ)，此其利用此類SKD實(shí)施的違法行為更加難以被發(fā)現(xiàn)。另一方面SDK都是提前預(yù)置在APP中，如果該APP已經(jīng)申請了很多權(quán)限，那該SDK也可以調(diào)用相同的權(quán)限，因此SDK的行為不需要通過告知APP即可實(shí)現(xiàn)。我們可以通過分析APP權(quán)限范圍的方法對其中的SDK進(jìn)行分析。

（三）第三方SDK常見的惡意行為類型

第三方SDK的惡意行為除上述廣告刷流量類型外，還包括以下幾類：

流量劫持：第三方SDK通過惡意劫持APP流量，根據(jù)特定目標(biāo)劫持訪問的地址；

資費(fèi)消耗：第三方SDK消耗用戶的網(wǎng)絡(luò)資費(fèi)，甚至是訂閱收費(fèi)服務(wù)，惡意發(fā)送收費(fèi)短信等；

隱私竊取：第三方SDK在用戶不知情的情況下，竊取用戶的通訊錄、短信等個(gè)人隱私信息，甚至是未經(jīng)授權(quán)的拍照，錄音等高危敏感行為；

靜默下載：第三方SDK在運(yùn)行后臺靜默下載、安裝其他惡意APP或木馬病毒的行為；

惡意廣告：第三方SDK可以向用戶推送包含欺詐內(nèi)容、木馬病毒的連接，干擾用戶正常使用APP；

敲詐勒索：第三方SDK惡意加密用戶手機(jī)中的文件，干擾用戶對手機(jī)的正常使用，并以恢復(fù)為由向用戶敲詐勒索；

虛擬幣挖礦：第三方SDK在用戶不知情的情況下，利用手機(jī)的計(jì)算能力進(jìn)行數(shù)字虛擬貨幣的獲取，消耗用戶的手機(jī)性能資源；

遠(yuǎn)程控制：第三方SDK在手機(jī)端啟動(dòng)本地服務(wù)器，接收遠(yuǎn)程控制端發(fā)來的控制指令，隱蔽上述惡意行為。

二、案例取證分析

在某非法控制計(jì)算機(jī)信息系統(tǒng)案件中，嫌疑人將自己研發(fā)的SDK推廣嵌入到其他開發(fā)者的APP中。用戶安裝這些APP后，涉案SDK會(huì)在手機(jī)用戶不知情的情況下，通過網(wǎng)絡(luò)與后臺服務(wù)器進(jìn)行連接，并自動(dòng)訪問服務(wù)器端推送的網(wǎng)站，通過提高網(wǎng)站訪問流量實(shí)現(xiàn)非法盈利，具體調(diào)用流程如圖3 所示。為還原犯罪實(shí)施過程，為案件偵辦提供證據(jù)支撐，本案重點(diǎn)對涉案APP中的SDK及服務(wù)器端進(jìn)行分析。

（一）SDK程序文件功能的取證分析

對涉案的應(yīng)用程序SDK文件進(jìn)行程序功能性分析，獲取到涉案樣本文件名為“XXX.jar”的文件，文件格式為“.jar”，文件大小為“100KB”，SHA256值為“XXX X”，使用“Jadx-gui-1.6.2”反編譯軟件打開該文件進(jìn)行源碼檢驗(yàn)。

在程序源碼顯示版本號為“Manifest-Version：1.0”，經(jīng)前期案件偵辦，重點(diǎn)關(guān)注網(wǎng)絡(luò)連接行為數(shù)據(jù)，因此可以通過搜索關(guān)鍵字“http”，尋找內(nèi)置在SDK代碼中與網(wǎng)絡(luò)地址相關(guān)的數(shù)據(jù)，如圖4所示。

通過對搜索結(jié)果的上下文代碼查看分析，發(fā)現(xiàn)SDK具備向服務(wù)器發(fā)送http請求的行為，同時(shí)在發(fā)送請求時(shí)，確認(rèn)服務(wù)正常并獲取任務(wù)數(shù)據(jù)流。在上傳地址中包含“qid”進(jìn)行標(biāo)識，以便服務(wù)器能夠確認(rèn)任務(wù)請求的來源，方便后續(xù)數(shù)據(jù)統(tǒng)計(jì)。從代碼中也可以看到SDK同時(shí)判斷服務(wù)器響應(yīng)的狀態(tài)碼，如果狀態(tài)碼為200（響應(yīng)正常），則會(huì)判斷“server ok”并繼續(xù)進(jìn)行任務(wù)處理，如圖5所示。

通過代碼識別可以了解到，該SDK將獲取的任務(wù)流數(shù)據(jù)存放在列表（List）中，存放數(shù)據(jù)包括“code”“l(fā)oglevel”“time”“url”“data”等類型，在該案例中，參數(shù)loglevel是指任務(wù)的優(yōu)先等級。在進(jìn)一步判斷數(shù)據(jù)長度等情況后，循環(huán)執(zhí)行處理任務(wù)流數(shù)據(jù)，如圖6所示。

程序循環(huán)執(zhí)行過程中，調(diào)用“WebView”控件渲染網(wǎng)頁。WebView就是“網(wǎng)絡(luò)視圖”，能在APP中直接加載并顯示網(wǎng)頁，可以將其視為一個(gè)內(nèi)置瀏覽器。主要用于展示網(wǎng)絡(luò)請求后的內(nèi)容，包括網(wǎng)絡(luò)地址請求的內(nèi)容。APP如需要訪問網(wǎng)絡(luò)，可以不使用手機(jī)自帶的瀏覽器，只需使用webView組件即可在APP內(nèi)部展示網(wǎng)絡(luò)頁面。在webview控件后，發(fā)現(xiàn)該SDK使用“addJavascriptInterface”等方法處理“Javascript”數(shù)據(jù)（任務(wù)數(shù)據(jù)）。通過調(diào)用“MotionEvent”方法（MotionEvent是手指觸摸屏幕產(chǎn)生的一系列事件）模擬觸摸屏幕滑動(dòng)動(dòng)作。利用調(diào)用“sleep”實(shí)現(xiàn)休眠（sleep方法的作用是在指定的毫秒數(shù)內(nèi)讓當(dāng)前“正在執(zhí)行的線程”暫停執(zhí)行），上傳日志信息，如圖7所示。

（二）服務(wù)器控制后臺檢驗(yàn)

通過攔截SDK與后臺服務(wù)器通訊數(shù)據(jù)，可以發(fā)現(xiàn)與其搭配的后臺地址，經(jīng)對該服務(wù)器勘查取證分析，可以發(fā)現(xiàn)后臺管理主頁內(nèi)包含“任務(wù)”“基礎(chǔ)數(shù)據(jù)”“運(yùn)營數(shù)據(jù)”“輔助工具”“子項(xiàng)目”“消息推送”“系統(tǒng)相關(guān)”等內(nèi)容。其中“任務(wù)”欄目下的顯示狀態(tài)為“開啟”的任務(wù)有多個(gè)，包括名稱為“撞庫（XXX_拉新）”“手機(jī)號抓取_初次”“撞庫（XXX_檢測）”“撞庫（XXXX_促活）”“手機(jī)號抓取_二次”“撞庫（XXX_拉新_個(gè)人）”等任務(wù)，同時(shí)還對任務(wù)的運(yùn)行數(shù)據(jù)進(jìn)行統(tǒng)計(jì)。

通過對服務(wù)器數(shù)據(jù)的取證分析，發(fā)現(xiàn)在任務(wù)數(shù)據(jù)中，均會(huì)加入CNZZ統(tǒng)計(jì)鏈接。CNZZ站長統(tǒng)計(jì)是專業(yè)的實(shí)時(shí)網(wǎng)站流量統(tǒng)計(jì)分析系統(tǒng)，可以幫助網(wǎng)站管理員、運(yùn)營人員、推廣人員等實(shí)時(shí)獲取網(wǎng)站流量，并從流量來源、網(wǎng)站內(nèi)容、網(wǎng)站訪客特性等多個(gè)方面提供網(wǎng)站的數(shù)據(jù)分析服務(wù)。從而幫助提高網(wǎng)站流量，提升網(wǎng)站的用戶體驗(yàn)，讓訪客更多的沉淀下來變成會(huì)員或客戶，通過更少的投入獲得最大化的收入。

在對任務(wù)名稱為“XXX_拉新”的任務(wù)數(shù)據(jù)進(jìn)行分析時(shí)，發(fā)現(xiàn)其入口頁面的url鏈接地址，對“XXX_拉新”的運(yùn)行代碼段進(jìn)行分析，發(fā)現(xiàn)在訪問上述鏈接后會(huì)執(zhí)行一段代碼，代碼中通過構(gòu)建某網(wǎng)站的地址參數(shù)實(shí)現(xiàn)該網(wǎng)站頁面的訪問行為。涉及的賬號參數(shù)則存放在后臺地址的代碼中，具體參數(shù)包括“id”“sceneCode”“domain”“channel”“partnerId”“weight”等，如圖8中所示。

在取證工作站的瀏覽器中輸入訪問任務(wù)地址，發(fā)現(xiàn)會(huì)自動(dòng)跳轉(zhuǎn)到“xxx領(lǐng)紅包”頁面中，并且自動(dòng)發(fā)送包含有PID等參數(shù)的鏈接，實(shí)現(xiàn)自動(dòng)申請領(lǐng)紅包的行為，如圖9所示。

通過對SDK和服務(wù)器數(shù)據(jù)的取證分析，可以發(fā)現(xiàn)該涉案團(tuán)伙在未經(jīng)手機(jī)用戶授權(quán)的情況下，完成服務(wù)器狀態(tài)判斷以及任務(wù)申請、執(zhí)行、統(tǒng)計(jì)等行為，而所有這些行為都不被手機(jī)用戶直觀發(fā)現(xiàn)，實(shí)現(xiàn)了網(wǎng)站流量暗刷的一系列操作。

三、結(jié)語

結(jié)合對案例的取證分析，通過在應(yīng)用程序中植入具有特定功能的SDK，利用網(wǎng)絡(luò)和服務(wù)器端預(yù)先設(shè)置好的任務(wù)參數(shù)，可以實(shí)現(xiàn)SDK程序根據(jù)代碼邏輯，在手機(jī)后臺自動(dòng)化處理預(yù)制任務(wù)，實(shí)現(xiàn)循環(huán)執(zhí)行訪問頁面完成暗刷流量等行為，從而達(dá)到非法獲利的目的。由于這種利用SDK進(jìn)行違法犯罪的行為往往伴隨正常應(yīng)用程序的使用而進(jìn)行，其行為并不會(huì)直接體現(xiàn)在手機(jī)應(yīng)用程序界面中，具有隱蔽性強(qiáng)的特點(diǎn)，往往很難被手機(jī)用戶發(fā)現(xiàn)，另一方面在對此類案件進(jìn)行偵查取證時(shí)，涉及到應(yīng)用程序逆向分析、代碼功能邏輯分析以及服務(wù)器勘查取證等領(lǐng)域的技術(shù)，對辦案部門有一定實(shí)際操作的技術(shù)要求。本文對暗刷流量類的涉案SDK關(guān)聯(lián)要素進(jìn)行取證分析研究，為偵辦和打擊此類違法犯罪活動(dòng)的辦案部門提供相關(guān)參考。