လွယ်လွယ်ပြောရရင် Ghost Push ဆိုတာ Android ဖုန်းရဲ့ root access ကို ရယူပြီး၊ MonkeyTest နဲ့ TimeService ဆိုတဲ့ ဗိုင်းရပ်စ်တွေကို ထပ်ဆွဲချတဲ့ system-level ဗိုင်းရပ်စ်တစ်မျိုးဖြစ်ပါတယ်။ ၂၀၁၅ မှာ ဖုန်းပေါင်း သိန်းချီ ကူးစက်ခဲ့တဲ့ ဗိုင်းရပ်စ်ပါ။
(ပြည့်စုံထိရောက်သော B4A Ghost Push Killer APK တစ်ခု ဖန်တီးနိုင်ရန် ရည်ရွယ်ပါသည်။)
၂၀၁၅ August လအတွင်းမှာ Coolpad ဖုန်းသုံးတဲ့သူတွေဟာ official update လုပ်ပြီးတဲ့နောက် သူတို့ဖုန်းတွေမှာ MonkeyTest နဲ့ TimeService ဆိုတဲ့ ဗိုင်းရပ်စ်တွေ ဝင်နေတာကို တွေ့ရတယ်။ အဲဒီဗိုင်းရပ်စ်တွေဟာ Ghost Push ဆိုတဲ့ ဗိုင်းရပ်စ်က အရင်ဝင်ရောက်ပြီးမှ ရောက်လာကြတာ။ September (၁၈) ရက်နေ့မှာဆိုရင် ဗိုင်းရပ်စ်ဝင်ခံရတဲ့ ဖုန်းအရေအတွက်က တစ်ရက်ကို (၇) သိန်းအထိ ရှိလာခဲ့တယ်။ Samsung, Coolpad, Moto အပါအဝင် ဖုန်းမော်ဒယ် (၁) သောင်းကျော် ကူးစက်ခံခဲ့ရတယ်။ စူးစမ်းစစ်ဆေးချက်တွေအရ အဓိက ကူးစက်ခံရတာက အမေရိက၊ ရရှား၊ အရှေ့တောင်အာရှနဲ့ တရုတ်တောင်ပိုင်း ဒေသတွေ ဖြစ်ပါတယ်။
Ghost Push ဟာ system-level access ကို ရယူတယ်။ ပြီးရင် ဖုန်းကို root လုပ်တယ်။ MonkeyTest နဲ့ TimeService တွေကို ထပ်ပြီး download ချတယ်။ ဖုန်းဟာ အလွန်လေးလံသွားမယ်၊ ဘက်ထရီ အမြန်ကုန်သွားမယ်၊ အင်တာနက် network traffic ကို သိသိသာသာ ဆွဲသုံးမယ်။ အန္တရာယ်ကြီးတာက ဒီဗိုင်းရပ်စ်တွေကို အလွယ်တကူ သတ်လို့မရပဲ၊ uninstall လုပ်ရင်လဲ ဖုန်းကို restart လုပ်လိုက်တာနဲ့ ပြန်ပေါ်လာတယ်။
Ghost Push က ဖုန်းရဲ့ root access ကို ရယူတယ်။ အင်တာနက် data ကို သုံးပြီး ကြော်ငြာတွေကို ဆွဲချတယ်။ ဖုန်းသုံးသူမသိလိုက်ပဲ အခြားအသုံးမဝင်တဲ့ application တွေကိုလည်း download ချတယ်။
Hacker တွေက Ghost Push ဗိုင်းရပ်စ် code တွေကို နာမည်ကြီး application တွေမှာ ညှပ်ထည့်ပြီး original application ပုံစံနဲ့ ဖြန့်ဝေတယ်။ သုံးတဲ့သူတွေက အစစ်အမှန်ထင်ပြီး install လုပ်လိုက်မိချိန်မှာ ပြဿနာ တက်တော့တာပဲ။ ဗိုင်းရပ်စ်ပိုးထည့်သွင်းခံထားရတဲ့ application တွေကို နောက်ဆက်တွဲ (၁) မှာ ဖော်ပြထားပါတယ်။
၁။ ဗိုင်းရပ်စ် ဝင်ရောက်ပြန့်နှံ့ပုံအား လေ့လာခြင်း
၁-က။ Root ရအောင် လုပ်ခြင်း
Ghost Push ဟာ ဖုန်းမော်ဒယ်နဲ့ အခြား information တွေကို server ဆီကို ပေးပို့တယ်။ အဲဒီကနေမှ root toolkit ကို download ချတယ်။ ပြီးတာနဲ့ ဖုန်းကို တိတ်တိတ်လေး root ဖောက်တယ်။ နောက်တစ်ဆင့်အနေနဲ့ debuggerd ဖိုင်ကို အစားထိုးတယ်၊ install-recovery.sh ဖိုင်မှာ code တွေ ပြင်တယ်၊ /system/xbin folder ထဲမှာ bin ဗိုင်းရပ်စ်ဖိုင်တွေ ဖန်တီးတယ်၊ ROM virus ကို install လုပ်တယ်။ /system/priv-app, /system/app folder တွေထဲမှာ “camera_update” လို ဖိုင်တွေ ဖန်တီးတယ်။
camera_update ဟာ ဗိုင်းရပ်စ်ဖိုင်ဖြစ်ပြီး /system/priv-app folder ထဲမှာ ရှိနေတယ်။ အဲဒီဗိုင်းရပ်စ်ဟာ ဖုန်းရဲ့ ROM ထဲကို ဝင်နေပြီး uninstall လုပ်လို့ မရအောင် လုပ်ထားတယ်။ ဒီဖိုင်ကနေပဲ MonkeyTest နဲ့ TimeService apk တွေကို install လုပ်ယတယ်။ ပြီးတော့ အခြားဘာမှန်းမသိတဲ့ application တွေကိုလည်း install လုပ်ယတယ်။
၂။ မူရင်းဗိုင်းရပ်စ်ကို သတ်မရအောင် အကာအကွယ် လုပ်ထားပုံ
၂-က။ ROM ထဲက မူရင်းဗိုင်းရပ်စ်ကို bin က အကာအကွယ် ပေးထားတယ်
စက်ကို power စဖွင့်တာနဲ့ install-recovery.sh နဲ့ debuggerd ဖိုင်တွေကို execute လုပ်တယ်။ အဲဒီဖိုင် ၂ ခုကနေ ဗိုင်းရပ်စ် bin ဖိုင်ကို execute ဆက်လုပ်တယ်။ ဒီဟာက ROM ထဲမှာ ရှိနေတဲ့ မူရင်းဗိုင်းရပ်စ်ကို အကာအကွယ်ပေးပြီး ဆက် run နေစေတယ်၊ မူရင်းဗိုင်းရပ်စ်ရဲ့ နောက်ဆုံး installation package ကို ရယူတယ်။
တကယ်လို့ မူရင်းဗိုင်းရပ်စ်ကို uninstall လုပ်လိုက်ရင် bin ဖိုင်ကပဲ ဗိုင်းရပ်စ်ကို ထပ် download ချပြီး ROM ထဲမှာ ပြန် install လုပ်တယ်။
၂-ခ။ Bin ဖိုင်ကို ဖျက်လို့မရအောင် လုပ်ထားတယ် — စက်က run နေချိန်မှာ bin ဖိုင်ဟာ “chattr +I” command ကို သုံးပြီး သူ့ကိုယ်သူ ဖျက်လို့မရအောင် ကာကွယ်ထားတယ်။
၂-ဂ။ APK ဖိုင်ကို ဖျက်လို့မရအောင် လုပ်ထားတယ် — Ghost Push ကလည်း user တွေ သူ့ကို ဖျက်လို့မရအောင် “chattr +I” နဲ့ ကာကွယ်ထားတယ်။
၃။ ဗိုင်းရပ်စ် က ဘာတွေ လုပ်သလဲ
၃-က။ ကြော်ငြာများ ဆွဲချပြခြင်း — ဖုန်းသုံးတဲ့သူက အင်တာနက် ဖွင့်လိုက်တာနဲ့ ဗိုင်းရပ်စ်ဖိုင်တွေက ကြော်ငြာတွေကို download ဆွဲချပြီး ဇွတ်ပြတယ်။ သူက wifi connection ကို ပိတ်ပစ်ပြီး ဖုန်းရဲ့ data ကို သုံးတယ်။
၃-ခ။ Application များ install လုပ်ခြင်း — MonkeyTest နဲ့ TimeService ကို download ချ၊ install လုပ်ယူတယ်။ ဒီလို ကြော်ငြာတွေ push လုပ်တာ၊ apk တွေ push လုပ်တာတွေအတွက် Ghost Push ဟာ SQLite database ကို သုံးတာ တွေ့ရတယ်။
၃-ဂ။ Booster ကို သုံးခြင်း — application တွေကို download ချနိုင်ဖို့၊ install လုပ်နိုင်ဖို့အတွက် Accessibility ထဲက Booster ကို ဖွင့်ခိုင်းတတ်တယ်။
၄။ ဗိုင်းရပ်စ် ပြဿနာ ဖြေရှင်းနည်း
၄-က။ StubbornTrjKiller — Google Play မှာ ဒီဗိုင်းရပ်စ်ကို သတ်တဲ့ APK ကို download ချပြီး သုံးနိုင်ပါတယ်။
၄-ခ။ ကိုယ်တိုင် သတ်နည်း
ဖုန်းဟာ root လုပ်ပြီးဖြစ်ရပါမယ်။ Busybox install လုပ်ပြီးဖြစ်ရပါမယ်။ ဖုန်းကို ကွန်ပျူတာနဲ့ ချိတ်ပါ။ adb shell ကနေ “su” command ကို သုံးပြီး root permission ယူပါ။ ပြီးရင် adb shell မှာ အောက်က command တွေကို ရိုက်ထည့်ပါ။
ps | grep .base— get the pid of file .basekill pidmount -o remount rw /system— different system may use different command
Bin ဖိုင်တွေကို ဖယ်ရှားဖို့ —
chattr –ia /system/xbin/.ext.base /system/xbin/.bat.base /system/xbin/.zip.base /system/xbin/.word.base /system/xbin/.look.base /system/xbin/.like.base /system/xbin/.view.base /system/xbin/.must.base /system/xbin/.team.base /system/xbin/.type.base /system/xbin/.b /system/xbin/.sys.apk /system/xbin/.dfchattr –ia /system/bin/daemonuis /system/bin/uis /system/bin/debuggerd /system/bin/nis /system/bin/daemonnis /system/bin/.daemon/nis /system/bin/uis /system/bin/.sr/nis /system/bin/mis /system/bin/daemonmis /system/bin/.daemon/mis /system/bin/.sc/misrm /system/xbin/.ext.base /system/xbin/.bat.base /system/xbin/.zip.base /system/xbin/.word.base /system/xbin/.look.base /system/xbin/.like.base /system/xbin/.view.base /system/xbin/.must.base /system/xbin/.team.base /system/xbin/.type.base /system/xbin/.b /system/xbin/.sys.apk /system/xbin/.dfrm /system/bin/daemonuis /system/bin/uis /system/bin/debuggerd /system/bin/nis /system/bin/daemonnis /system/bin/.daemon/nis /system/bin/uis /system/bin/.sr/nis /system/bin/mis /system/bin/daemonmis /system/bin/.daemon/mis /system/bin/.sc/miscp /system/bin/debuggerd_test /system/bin/debuggerd
ဒါနဲ့မှ မရသေးရင် —
chattr –ia /system/priv-app/cameraupdate.apk /system/priv-app/com.android.wp.net.log.apkrm -rf /data/data/com.android.camera.update /data/data/com.android.wp.net.logrm /system/priv-app/cameraupdate.apk /system/priv-app/com.android.wp.net.log.apk
adb shell မှာ install-recovery.sh ကို ပြန်ပြင်ပါ —
cp /system/etc/install-revcovery.sh /sdcard/adb pull /sdcard/install-revcovery.shadb push install-revcovery.sh /sdcard/cp /sdcard/install-recovery.sh /system/etc/- open
/system/etc/install-recovery.sh၊ remove code below:/system/bin/daemonuis –auto-daemon &၊#!/system/bin/sh၊/system/xbin/.ext.base &၊#!/system/bin/sh၊/system/xbin/.ext.base &
၄-ဂ။ လုံခြုံရေး အကြံပြုချက်
Ghost Push ဗိုင်းရပ်စ်ဟာ ကြော်ငြာ SDK တွေ၊ browser ကြော်ငြာတွေကနေ ကူးစက်တတ်ပါတယ်။ နာမည်ကြီး application ပုံစံအနေနဲ့လည်း ဟန်ဆောင်ပြီး လာတတ်ပါတယ်။ ဒီဗိုင်းရပ်စ်ရဲ့ source ကို လေ့လာကြည့်တဲ့အခါ တရုတ်ကုမ္ပဏီ Xinyinhe ကလာတာကို တွေ့ရပါတယ်။ Key ROOT master နဲ့ အဆက်အစပ် ရှိနိုင်ပါတယ်။
နောက်ဆက်တွဲ (၁) — ဗိုင်းရပ်စ် ကူးစက်ထားသော Application များ
- WiFi Enhancer
- TimeService
- Indian Sexy Stories 2
- Assistive Touch, Accurate Compass, All-star Fruit Slash, Happy Fishing, MonkeyTest, PinkyGirls, XVideo Codec Pack, Amazon/应用中心, Hubii News, itouch, Light Browser, XVideo, Memory Booster, WordLock, Fast Booster, Talking Tom 3, Photo Clean, Super Mario, SmartFolder, Simple Flashlight, Daily Racing, SettingService, boom pig, WhatsWifi, Hot Video, Lemon Browser, Multifunction Flashlight, 小白点/Assistive Touch, Hot Girls, Sex Cademy, iVideo, Fruit Slots, Wifi Speeder, WiFi FTP, Ice Browser, PronClub
Ref: CheetahMobile
ပိုပြီး ပြည့်စုံသွားအောင် #နိုရာ ရဲ့ code တွေကို ထပ်မံ ဖြည့်စွက် ဖော်ပြပေးလိုက်ပါတယ်။ (Credit to နိုရာ)
monkey test ကို manual သတ်ခြင်း
system ကို read write ပြုလုပ်ရန် remount ပြုလုပ်ခြင်း —
mount -o rw,remount /system
ပထမဆုံး မူရင်းဖိုင်ထားရှိရာနေရာမှ ဖိုင်များကို ဖျက်ခြင်း
rm /data/user/0/com.android.provider.down2/.catr.apk /data/user/0/com.android.provider.down2/com.android.hardware.ext0.apk /data/user/0/com.android.provider.down2/com.android.wp.net.log.apk /data/user/0/com.android.provider.down2/com.google.fk.json.slo.apk /data/user/0/com.android.provider.down2/com.google.model.mi.apk /data/user/0/com.android.provider.down2/*.apkrm -r /data/user/0/com.android.provider.down2
running processes အချို့ကို သတ်ခြင်း
am force-stop /data/data/android.process.media /data/data/com.cool.coolbrowser /data/data/com.gl.live.wallpaper /data/data/com.jkazl.tqpthjzj /data/data/com.qzfkm.dcesbt /data/data/com.android.provider.down2 /data/data/com.android.hardware.ext0 /data/data/com.android.wp.net.log /data/data/com.android.system.settings /data/data/com.android.ptiak5 /data/data/com.android.ptiak2 /data/data/com.dianxinos.optimizer.duplay /data/data/com.shere.easytouch /data/data/com.shere.easytouch.holo /data/data/com.shere.common.powerkeyexecutor /data/data/com.fition.wsatlle /data/data/com.tmon.sky /data/data/com.dianxinos.dxbs /data/data/androidhwext
system app များကို ဖယ်ခြင်း
chattr -iaA /system/app/providerdown.apk;rm /system/app/providerdown.apkchattr -iaA /system/app/cameraupdate.apk;rm /system/app/cameraupdate.apkchattr -iaA /system/app/com.android.wp.net.log.apk;rm /system/app/com.android.wp.net.log.apkchattr -iaA /system/app/providerCertificate.apk;rm /system/app/providerCertificate.apkchattr -iaA /system/app/keazwv.apk;rm /system/app/keazwv.apkchattr -iaA /system/app/UsTime.apk;rm /system/app/UsTime.apkchattr -iaA /system/app/qschu.apk;rm /system/app/qschu.apkchattr -iaA /system/app/com.common.lockassist.apk;rm /system/app/com.common.lockassist.apkchattr -iaA /system/app/com.ilocker.lockscreen.apk;rm /system/app/com.ilocker.lockscreen.apkchattr -iaA /system/app/GoogleSettings.apk;rm /system/app/GoogleSettings.apkchattr -iaA /system/app/com.cool.coolbrowser.apk;rm /system/app/com.cool.coolbrowser.apkchattr -iaA /system/app/com.android.hardware.ext0-1.apk;rm /system/app/com.android.hardware.ext0-1.apkchattr -iaA /system/app/com.android.hardware.ext0-2.apk;rm /system/app/com.android.hardware.ext0-2.apkchattr -iaA /system/app/com.android.hardware.ext0.apk;rm /system/app/com.android.hardware.ext0.apkchattr -iaA /system/app/com.google.fk.json.slo.apk;rm /system/app/com.google.fk.json.slo.apkchattr -iaA /system/app/com.google.model.mi.apk;rm /system/app/com.google.model.mi.apkchattr -iaA /system/app/Launcher0926CQ0XL5a.apk;rm /system/app/Launcher0926CQ0XL5a.apkchattr -iaA /system/app/com.cool.coolbrowser-1.apk;rm /system/app/com.cool.coolbrowser-1.apkchattr -iaA /system/app/.test;rm /system/app/.testchattr -iaA /system/app/.sys.apk;rm /system/app/.sys.apkchattr -iaA /system/app/com.fition.wsatlle.apk;rm /system/app/com.fition.wsatlle.apkchattr -iaA /system/app/com.tmon.sky.apk;rm /system/app/com.tmon.sky.apkchattr -iaA /system/app/com.android.ksetting.apk;rm /system/app/com.android.ksetting.apkchattr -iaA /system/app/com.android.ksync.apk;rm /system/app/com.android.ksync.apkchattr -iaA /system/app/com.android.pomla.apk;rm /system/app/com.android.pomla.apkchattr -iaA /system/app/com.android.psetting.apk;rm /system/app/com.android.psetting.apkchattr -iaA /system/app/com.android.psync.apk;rm /system/app/com.android.psync.apk
application data များကို ဖယ်ရှားခြင်း
chattr -iaA /data/app/com.android.hardware.ext0-1.apk;rm /data/app/com.android.hardware.ext0-1.apkchattr -iaA /data/app/batterydoctor.fastcharger.batterysaver-1.apk;rm /data/app/batterydoctor.fastcharger.batterysaver-1.apkchattr -iaA /data/app/com.android.provider.down2-1.apk;rm /data/app/com.android.provider.down2-1.apkchattr -iaA /data/app/com.android.provider.down3-1.apk;rm /data/app/com.android.provider.down3-1.apkchattr -iaA /data/app/com.shere.assistivetouch-1.apk;rm /data/app/com.shere.assistivetouch-1.apkchattr -iaA /data/app/cc.taosha.toolbox.shareit-1.apk;rm /data/app/cc.taosha.toolbox.shareit-1.apkchattr -iaA /data/app/com.dragon.android.mobomarket-1.apk;rm /data/app/com.dragon.android.mobomarket-1.apkchattr -iaA /data/app/com.shere.easytouch-1.apk;rm /data/app/com.shere.easytouch-1.apkchattr -iaA /data/app/com.shere.easytouch.holo-2.apk;rm /data/app/com.shere.easytouch.holo-2.apk
ဒါလေးကတော့ ၂၀၁၅ တုန်းက ဗိုင်းရပ်စ်ကြီးတစ်ခုကို အသေးစိတ် လေ့လာခွဲခြမ်းထားတဲ့ မှတ်တမ်းပါ။ ဒီနေ့တော့ ဒီနည်းတွေ တော်တော်ဟောင်းနေပြီဖြစ်ပေမယ့် “ဗိုင်းရပ်စ်ဆိုတာ ဘယ်လို ကိုယ့်ဖုန်းထဲ ဝင်လာပြီး၊ ဘာလို့ ဖျက်မရဖြစ်နေတာလဲ” ဆိုတာကို နားလည်ဖို့ အကောင်းဆုံး ဥပမာတစ်ခုပါပဲ။ 🙂
Ref: CheetahMobile
