近日，阿里移动安全收到多方用户反馈，手机中了一种难以清除的病毒。病毒一旦发作，设备将不断弹出广告，并自动下载、安装、启动恶意应用，最终设备衰竭而死，用户很难通过常规的卸载手段清除病毒。由于该病毒有多个版本演变并有起死回生之术，我们将该病毒命名为“九头虫”。
我们分析发现，“九头虫”病毒利用多家知名rootsdk对设备提权，可轻松提权上万总机型，成功提权后获得设备最高权限，随后向系统分区植入多个恶意app，删除设备其他root授权程序、su文件，并替换系统启动脚本文件，实现“起死回生”同时保证病毒具备root权限，将自身插入某杀软白名单中，并禁用掉国内多家知名杀软，致使设备安全防护功能全线瘫痪。
中毒设备将作为“九头虫”病毒的僵尸设备，每天推送上百万广告，其点击率大概15%（主要是病毒自身的模拟点击），也就是说每天广告点击上10万次，再加上静默安装与欺骗安装，每成功安装激活赚取1.5~元，如此收益不菲！
二、“九头虫”传播途径与感染数据统计■.1、传播途径最早我们截获到伪装成“中国好声音”应用的“九头虫”病毒，通过排查历史样本，我们发现大量“九头虫”变种病毒，其传播方式包括：伪装成热门应用、重打包生活服务类、色情诱惑类、系统工具类应用，比如伪装成“中国好声音”、“清理大师”、“新浪娱乐”等，以及色情应用“帮学姐洗澡”、“性感の嫩模”、“寂寞少妇”等，同时“九头虫”的恶意模块完全受云端控制，导致用户也不清除中毒来源。
传播病毒图标
■.、感染数据统计1、全国地区感染分布
对年初到年10月的监测统计数据显示，“九头虫”病毒累计设备感染量高达万。从感染地区分布图中可以看出四川、广东是感染重灾区。
、每月设备感染趋势
从每月设备感染趋势图可以看出，“九头虫”病毒爆发周期是4～5个月，在随后的4～5个月每月感染数下降，这正好也是病毒变种的一个周期。最近在8月初达到峰值，随后几月将是衰减期。
三、深入分析“九头虫”病毒分为注入rom病毒和恶意推广两个模块，注入rom病毒是“九头虫”家族的最新变种，执行流程图如下。
■.1、病毒母包母包的MyApp组件是恶意代码入口点，完成libOgdfhhiaxn.so加载和assets目录下xhmf文件解密加载，随后“九头虫”病毒分别进行注入rom病毒和恶意推广。
■.、“九头虫”注入rom病毒“九头虫”释放多个家族恶意应用，潜伏在系统应用中，频繁弹出恶意广告，严重干扰手机正常使用。注入rom病毒过程如下。
执行提权
首先获取root工具包。libOgfhhixan.so动态加载由assets目录下的Zvtwk文件释放的oko.jar。oko.jar子包联网请求提权工具下载地址，随后下载并本地解密获得提权工具包cab.zip。
请求获取提前工具包下载地址图
提权工具包中文件以及功能如下表：
接下来加载执行rootsdk既是data.jar文件，成功加载后“九头虫”会删除本地的cab.zip和data.jar文件。
动态加载执行data.jar图
从data.jar代码逻辑发现，“九头虫”病毒作者完全逆向重写了root精灵的rootsdk，根据设备型号等信息下载root-exp，其来源中科白癜风让白斑告别白癜风医院海口哪家好
