某国产APP的恶意手段分析

0x00前言

新年刚过，国内安全圈又出现了一件大事。在2月28号晚上，某国产APP被揭露出恶意使用安卓漏洞去收集用户信息，获得用户手机的权限，并恶意捆绑了特定文件，且不能让用户随意卸载其APP。要知道，这是国内算得上知名大厂了，居然做出这种事。目前该APP已于3月5号更新时删除了这一段攻击代码。

0x01攻击流程

拼多多利用了多个厂商OEM代码中的反序列化漏洞，通过提权获得最高权限后，进而控制用户手机，进行了一系列违规的操作。绕过了隐私监管，收集用户的WIFI信息，收集信息，通话记录，位置信息等。接着利用OEM代码导出中的root-path FileContentProvider，对System App和敏感文件进行读写，突破沙箱限制，绕开权限系统修改配置文件为自己保活，修改用户的桌面隐藏自身，实现防卸载。最后还通过覆盖动态代码文件的方式实现其他进程注入后门执行代码，实现隐蔽持久化。

流程简化如下，参考了B乎上一位大佬的复现思路

初始步骤

1、使用CVE-2021-25337漏洞进行文件读写

2、读写users_system_data_file文件

3、利用三星TTS漏洞加载DLL

提权部分

1、内核信息泄露漏洞 (CVE-2021-25369) ，和三星自己的 kmsg 泄露“特性”组合利用，最终获得内存基址和 addr_limit 地址

2、DECON driver 中的 UAF 漏洞 (CVE-2021-25370)，结合堆风水，最终，利用 signalfd 系统调用修改 addr_limit，转化为内核任意地址读写，完成提权。

0x02漏洞分析

拼多多使用的是Android的parcel序列化与反序列化不匹配的漏洞。

Parcel介绍

Android Framework 中一个核心的对象传递机制是 Parcel，希望被通过 Parcel 传递的对象需要定义 readFromParcel 和 writeToParcel 接口函数，并实现 Parcelable 接口。
理论上来讲，匹配序列化和反序列化函数应当是自反等效的，但系统 ROM 的开发者在编程过程中可能会出现不匹配的情况，例如写入的时候使用了 writeLong，读取的时候却使用了 readInt。
这类问题在运行过程中一般不会引起注意，也不会导致崩溃或错误，但在攻击者精心布局下，却可最终利用 Settings 和 system_server 进程，将这个微小的错误转化为 StartAnyWhere 提权。
Android 近年来累计已修复上百个这类漏洞，并在 Android 13 中对 Parcel 机制做了改革，彻底杜绝了大部分此类攻击面。
但对于鸿蒙和绝大部分未升级到 Android 13 的设备和用户来说，他们仍处于危险之中。

其中提权是利用了Dex文件，解压拼多多APK，翻到对应文件路径，提权文件路径为

pinduoduo-6-49-0.zip\assets\component\com.xunmeng.pinduoduo.AliveBaseAbility.7z\com.xunmeng.pinduoduo.AliveBaseAbility\vmp_src\mw1.bin

提权之后绕过隐私合规监管，获取用户一系列隐私消息，包括WIFI消息，位置信息，手机设备信息等敏感信息

最后利用手机厂商 OEM 代码中导出的 root-path FileContentProvider，进行 System App 和敏感系统应用文件读写；
进而突破沙箱机制、绕开权限系统改写系统关键配置文件为自身保活，修改用户桌面(Launcher)配置隐藏自身或欺骗用户实现防卸载，还使用覆盖动态代码文件劫持应用注入代码执行，实现持久化

并且拼多多并不只是对三星漏洞进行攻击，还对其他各大安卓厂商进行同样的攻击手段，以下是部分的攻击文件，(目前文件已从拼多多的CDN服务器删除)

0x04总结

网络安全，隐私安全一直是老生常谈的话题，口号说得再响，不如实际行动起来。网络不是不法之地，出来混迟早是要还的。网络安全是为人民，网络安全靠人民，无论是谁在国内都要遵守《中华人民共和国网络安全法》。一些手机厂商也要以身作则，遵守法律，不然不仅会受到同行拷打，还会受到法律制裁。

wh1t3zer

0x00前言

0x01攻击流程

0x02漏洞分析

Parcel介绍

0x04总结

你的赏识是我前进的动力