จะทราบได้อย่างไรว่าแอพใดพยายามเปิดเว็บไซต์สแปม


11

ฉันเพิ่งซื้อสมาร์ทโฟน Android เครื่องใหม่ หลังจากตั้งค่าแล้วโหลดที่อยู่ติดต่อของฉันลงไปฉันคิดว่าน่าจะเป็น

หลังจากผ่านไปหลายวันทุกครั้งที่ฉันปลดล็อกโทรศัพท์จะใช้เวลาสองสามวินาทีก่อนที่จะเปิดเบราว์เซอร์เริ่มต้นและเปิดเว็บไซต์สแปมบางส่วน ฉันพยายามดูว่าอะไรเป็นสาเหตุ ฉันลบแอพใด ๆ ที่ฉันไม่รู้ว่าเชื่อถือได้ แต่ปัญหายังคงอยู่ หลังจากพยายามที่จะแก้ปัญหาบางครั้งฉันก็ยอมแพ้และรีเซ็ตโทรศัพท์ให้เป็นค่าเริ่มต้นจากโรงงาน หลังจากรีเซ็ตไปเป็นค่าเริ่มต้นแล้วมันจะวิ่งโดยไม่มีปัญหาเป็นเวลาประมาณหนึ่งสัปดาห์ก่อนที่ปัญหาจะปรากฏขึ้นอีกครั้ง

ฉันพยายามถอนการติดตั้งแอพบางตัวเพื่อดูว่าเป็นสาเหตุหรือไม่ แต่ไม่มีอะไรเปลี่ยนแปลงหลังจากทำเช่นนั้น อย่างไรก็ตามฉันไม่ได้สังเกตว่าถ้าฉันปิด wifi มันจะไม่พยายามเปิดเบราว์เซอร์ด้วยซ้ำ (ฉันยังไม่ได้ลองใช้ข้อมูลมือถือเพราะไม่มีบันเดิล) นี่ทำให้ฉันรู้สึกว่ามันอาจเกี่ยวข้องกับบางอย่างในเครือข่าย แต่นั่นไม่ได้อธิบายว่าทำไมโทรศัพท์เครื่องนั้นถึงมีปัญหาเมื่อมีโทรศัพท์ Android อย่างน้อย 6 เครื่องในเครือข่ายเดียวกัน

ฉันหวังว่าจะมีใครบางคนที่สามารถช่วยฉันหาสาเหตุของปัญหานี้และช่วยฉันแก้ปัญหา

TL; DR เมื่อปลดล็อคโทรศัพท์ของฉันมันจะเปิดเบราว์เซอร์และพยายามเปิดเว็บไซต์สแปม แต่จะทำเช่นนั้นในขณะที่เชื่อมต่อกับ wifi

สิ่งที่ฉันพยายาม:

  • รีเซ็ตเป็นค่าเริ่มต้นจากโรงงาน (ช่วยในเวลา จำกัด เท่านั้น)
  • การล้างแคชเบราว์เซอร์และข้อมูลที่เกี่ยวข้องทั้งหมด
  • การลบแอพใด ๆ ที่ฉันไม่รู้ว่าเชื่อถือได้
  • พยายามค้นหาสิ่งที่กระตุ้นให้เกิดขึ้น (ดูเหมือนต้องการการเชื่อมต่ออินเทอร์เน็ตบางประเภท ??)

อุปกรณ์คือ Doogee Shoot 1 สำหรับเบราว์เซอร์ค่าเริ่มต้นถูกตั้งค่าเป็นเบราว์เซอร์ Android แต่ถ้าฉันเปลี่ยนค่าเริ่มต้นมันจะใช้ Chrome ด้วยเช่นกัน ดูเหมือนว่าจะใช้เบราว์เซอร์ที่ตั้งค่าเป็นค่าเริ่มต้นจริงๆ


@beeshyams ฉันได้พยายามล้างข้อมูลเบราว์เซอร์สองสามครั้งและหากการล้างที่ไม่ได้ทำจากนั้นการรีเซ็ตเป็นค่าเริ่มต้นจากโรงงานควรจะแก้ไขคุกกี้ แต่มันกลับมาหลังจากนั้นไม่นาน
maam27

3
@beeshyams มัลแวร์ไม่จำเป็นต้องทำให้เป็นแอประบบ (เช่นที่จะไม่อธิบายว่าทำไมต้องใช้เวลาหนึ่งสัปดาห์หลังจากที่รีเซ็ตจากโรงงานเพื่อให้ปัญหาปรากฏขึ้นอีกครั้ง) ฉันจะตรวจสอบแอพที่มีผู้ฟังไปยังการปลดล็อกหน้าจอเพื่อ จำกัด ผู้สมัคร (ดู: ตรวจสอบเหตุการณ์ปลดล็อกโทรศัพท์ผู้สมัครที่ดีที่สุดน่าจะเป็นIntent.ACTION_USER_PRESENT)
Izzy

@izzy: จุดที่ถูกต้อง ขอบคุณ มันไม่ได้หมายความว่าเขาจะต้องถอนการติดตั้งแอพผู้ใช้ทั้งหมดเป็นวิธีที่ง่ายในการแยกหลังจากสำรองข้อมูล?
beeshyams

1
@beeshyams ฉันไม่ได้พูดว่า "ถอนการติดตั้ง" - ฉันเขียนตรวจสอบแอปที่มีผู้สร้างเช่นนี้ขึ้นมา ดูข้อมูลแอพพลิเคชั่น ( Playstore / FDroid / สกรีนช็อตตรวจสอบ "ผู้รับ" ที่นี่)
Izzy

1
@ อิซซี่เป็นไปได้ไหมที่จะไปแชทและดูว่าเราสามารถพบปัญหาได้หรือไม่? เนื่องจากมันจะทำให้ความคิดเห็นสั้นลงเล็กน้อย
maam27

คำตอบ:


19

อยู่บนพื้นฐานของ OP การแก้ไขปัญหาไม่ต่อไปนี้คำแนะนำของฉันผู้ร้ายที่ดูเหมือนจะเป็นแอประบบเป็นมัลแวร์ชื่อระบบ Locker ที่มีชื่อแพคเกจcom.tihomobi.lockframe.syslocker ปัญหานี้ดูเหมือนจะเป็นผลมาจากการอัปเดตระบบต่อผู้ใช้บางคนของอุปกรณ์

ตามปกติด้วยแอประบบหากคุณใช้ตัวเลือกปิดการใช้งานภายใต้การตั้งค่า→แอพ→ระบบแอพ / แอพทั้งหมด →ผู้กระทำผิดต้องปิดแอปนั้นโดยบังคับให้หยุดหรือรีบูต Android ปัญหาควรจะได้รับการแก้ไขจนกว่าคุณจะรีเซ็ตอุปกรณ์เป็นค่าเริ่มต้นจากโรงงาน


การแก้ไขปัญหา # 1

นี่คือวิธีที่ฉันพบผู้กระทำผิด เครื่องมือ Android ที่สร้างขึ้นในdumpsysแสดงอนึ่งแอปที่ถูกเรียกโดยแอปอื่น ๆ ผู้โทรเรียกว่าแพ็คเกจการโทร

โดยมีเงื่อนไขว่าคุณมีการตั้งค่า และ ประสบความสำเร็จในอุปกรณ์ PC และ Android ให้ทำดังต่อไปนี้:

  1. ให้อุปกรณ์เชื่อมต่อกับพีซี
  2. รีบูตอุปกรณ์หรือบังคับให้หยุดแอปเบราว์เซอร์เริ่มต้น
  3. ปล่อยให้มัลแวร์ทำงานได้นั่นคือให้เปิดเบราว์เซอร์โดยอัตโนมัติ
  4. ทันทีที่เปิดเบราว์เซอร์ไม่ต้องทำอะไรกับอุปกรณ์ แต่ใช้คำสั่ง adb ต่อไปนี้บนเครื่อง PC:

    adb shell dumpsys activity activities
    

นี่คือผลลัพธ์จากอุปกรณ์ของ OP :

กิจกรรมผู้จัดการกิจกรรม (กิจกรรมกิจกรรม dumpsys)
แสดง # 0 (กิจกรรมจากบนลงล่าง):
  สแต็ค # 1:
    รหัสงาน # 2
    * TaskRecord {8190ba1 # 2 A = android.task.browser U = 0 sz = 1}
      userId = 0 effectiveUid = u0a64 mCallingUid = u0a26 mCallingPackage = com.tihomobi.lockframe.syslocker
      ความสัมพันธ์ = android.task.browser
      ความตั้งใจ = {การกระทำ = android.intent.action.VIEW dat = http: //im.apostback.com/click.php? c = 362 & key = 9wl83884sg67y1acw3z56z90 & s4 = 8% 2FdNwcNuQFEjjaucho5IqA% 3D% 3DGG = 0000 เบราว์เซอร์ cmp = com.android.browser / .BrowserActivity}
      realActivity = com.android.browser / .BrowserActivity
...
...
ประวัติ # 0: ActivityRecord {66cd59b u0 com.android.browser / .BrowserActivity t2}
          packageName = com.android.browser processName = com.android.browser
          launchedFromUid = 10026 launchedFromPackage = com.tihomobi.lockframe.syslocker userId = 0
          แอพ = ProcessRecord {5ad1810 4337: com.android.browser / u0a64}
          เจตนากระทำ {= android.intent.action.VIEW ดาด = http://im.apostback.com/click.php?c=362&key=9wl83884sg67y1acw3z56z90&s4=8%2FdNwcNuQFEjjaucho5IqA%3D%3D Flg = 0x10000000 pkg = com.android.browser cmp = com.android.browser / .BrowserActivity}

ในผลลัพธ์::

  • com.android.browserเป็นชื่อแพคเกจของเบราว์เซอร์ Android ในอุปกรณ์ของคุณ
  • com.tihomobi.lockframe.syslockerเป็นชื่อแพคเกจของแอพมัลแวร์และถูกเรียกว่าแพ็คเกจการโทร

หากคุณพบว่ามัลแวร์ให้หลีกเลี่ยงการแก้ไขปัญหาต่อไปและข้ามไปยังหัวข้อNuke มัลแวร์


การแก้ไขปัญหา # 2

(ในการตอบสนองต่อการโพสต์ซ้ำที่นี่ - แอพผู้ร้ายคือFarming Simulator 18 )

ในบางสถานการณ์การแก้ไขปัญหาดังกล่าวอาจไม่สามารถช่วยได้เช่นเมื่อเรียกชื่อแพคเกจเป็นชื่อแพ็กเกจของเบราว์เซอร์ที่แสดงในเอาต์พุตดัมพ์ส ในกรณีนั้นให้เลือก. ตั้งค่า logcat เช่นนี้:

adb logcat -v ยาวบรรยาย | grep "dat = http" # คุณสามารถ grep อะไรก็ได้จาก URL ด้วย มันขึ้นอยู่กับคุณอย่างหมดจด
adb logcat ยาว - ยาวบรรยาย> logcat.txt # ทางเลือก; ถ้า grep ไม่ได้ติดตั้งในระบบปฏิบัติการของคุณ คุณต้องค้นหาไฟล์นั้นทันที

ตอนนี้ปลดล็อคอุปกรณ์และปล่อยให้เบราว์เซอร์ที่มี URL นั้นเปิดใช้งานโดยอัตโนมัติ นอกจากนี้กดCtrlด้วยCหากคุณบันทึกผลลัพธ์ลงในไฟล์

ผลลัพธ์ที่เรากำลังมองหาจะคล้ายกับ:

[11-27 16: 03: 22.592 3499: 6536 I / ActivityManager]
เริ่ม u0 {act = android.intent.action.VIEW dat = https: //livemobilesearch.com / ... flg = 0x10000000 pkg = org.mozilla.firefox cmp = org.mozilla.firefox / .App} 

จากuid 10021
...

[11-27 16: 03: 22.647 3499: 15238 I / ActivityManager]
เริ่ม u0 {act = android.intent.action.VIEW dat = https: //livemobilesearch.com / ... pkg = org.mozilla.firefox cmp = org.mozilla.firefox / org.mozilla.gecko.BrowserApp} 

จากuid 10331

ดู UID ที่เน้นทั้งสอง 10021 และ 10331 หนึ่งในนั้น (พวกเขาจะแตกต่างกันในกรณีของคุณ) สำหรับแอปเบราว์เซอร์ที่เปิดตัวและหนึ่งในนั้นคือแอปมัลแวร์ที่ขอ URL นั้น ดังนั้นวิธีการค้นหาสิ่งที่เป็นอะไร

หากคุณรูทการเข้าถึงให้ทำ:

adb shell su -c 'ls -l / data / data / | grep u0_a 21 '
adb shell su -c 'ls -l / data / data / | grep u0_a 331 '

ผลผลิตจะเป็นเช่น:

drwx ------ 5 u0_a21 u0_a21 4096 2018-01-01 10:31 com.android.chrome 
drwx ------ 5 u0_a331 u0_a331 4096 2018-01-01 10:31 com.tihomobi.lockframe.syslocker

หากคุณไม่มีสิทธิ์เข้าถึงรูทให้ทำ:

adb shell dumpsys package > packages_dump.txt

ตอนนี้ค้นหาบรรทัดด้วย UID ของคุณเช่น "userId = 10021" และ "userId = 10331" บรรทัดด้านบนบรรทัดที่ค้นหาจะให้ชื่อแพคเกจแก่คุณและอาจมีลักษณะดังนี้:

แพ็คเกจ [ com.android.chrome ] (172ca1a):
    หมายเลขผู้ใช้ = 10021
...
แพ็คเกจ [ com.tihomobi.lockframe.syslocker ] (172ca1a):
    หมายเลขผู้ใช้ = 10331

สองชื่อแพคเกจ com.android.chrome (สำหรับ Chrome เบราว์เซอร์ - ไม่แน่นอนมัลแวร์) และcom.tihomobi.lockframe.syslocker หากต้องการทราบชื่อแอปฯ จากชื่อแพคเกจใช้คำตอบของฉันที่นี่


นุกมัลแวร์

ตอนนี้คุณรู้ว่าผู้กระทำผิดคุณสามารถปิดการใช้งานผ่าน GUI ดังกล่าวข้างต้น หากไม่สามารถทำได้ให้ทำ:

adb shell pm ปิดการใช้งานผู้ใช้ PKG_NAME # ปิดใช้งานแอป
adb shell pm ถอนการติดตั้ง --user 0 PKG_NAME # จะลบแอปสำหรับผู้ใช้หลัก
adb shell am บังคับให้หยุด PKG_NAME # only บังคับให้หยุดแอป

แทนที่PKG_NAMEด้วยชื่อแพ็คเกจของมัลแวร์ที่คุณระบุไว้ในการแก้ปัญหาด้านบน

นั่นควรทำเคล็ดลับ นอกจากนี้คุณยังสามารถพิจารณาลบแอปพลิเคชันมัลแวร์อย่างถาวรสำหรับผู้ใช้ทั้งหมด แต่ต้องมีการเข้าถึงรูท


1
ขอบคุณที่รับการแชทที่ฉันต้องจากไป - และการวิเคราะห์ที่ยอดเยี่ยม +1! เรียนรู้สิ่งใหม่เกี่ยวกับdumpsysวิธีการนั้น :)
อิซซี่

@ อิซซี่ฉันดีใจที่คุณชอบมัน :)
Firelord

+1 การขุดลึกที่ดี👍
Irfan Latif

@IrfanLatif ขอบคุณ
จ้าว

0

ต้องการข้อมูลเพิ่มเติมเล็กน้อยเพื่อแก้ไขปัญหาแม้ว่าฉันจะพยายามค้นหาปัญหาที่เป็นไปได้ เบราว์เซอร์ใด โทรศัพท์รุ่นไหน ซื้อมาจากแหล่งราชการหรือไม่?

ในทางทฤษฎีการรีเซ็ตเป็นค่าเริ่มต้นจากโรงงานควรช่วยคุณในเรื่องนี้ เนื่องจากไม่ได้มีสถานที่อีกสองสามแห่งที่คุณสามารถรับแอดแวร์บางรูปแบบ ก่อนอื่นคุณต้องยกเลิกการติดตั้งแอพไหม? แอปใดบ้างที่พิเศษ? มันปรากฏขึ้นหลังจากติดตั้งซอฟต์แวร์บางส่วนหรือไม่?

มันเป็น wifi ของคุณหรือคุณใช้ที่สาธารณะหรือไม่? หากเป็นที่สาธารณะโดยปกติแล้ว บริษัท มักจะส่งคำขอติดตั้งแอพและโฆษณาคำขอผ่าน wifi บ่อย หากคุณอาศัยอยู่ใน / ใกล้กับพื้นที่ที่วุ่นวายคุณจะไม่แปลกใจหากนั่นจะเป็นเพียงแค่คนที่ใช้โฆษณาผลิตภัณฑ์ของพวกเขา ลองใช้ wifi ที่แตกต่างกันหรือ wifi ของคนอื่นดูว่าปัญหายังคงมีอยู่หรือไม่ ถ้าไม่ได้ เป็นปัญหากับเครือข่ายที่คุณใช้ซึ่งหมายความว่าคุณมีแนวโน้มที่จะต้องเปลี่ยน คุณสามารถลองติดต่อผู้ให้บริการของคุณเพื่อช่วยคุณได้ (มีปัญหาเช่นนั้นมาก่อนผู้ให้บริการ ISP ของฉันช่วยฉันหลังจากติดต่อฝ่ายสนับสนุน) ดูว่าเครือข่ายมือถือแสดงปัญหาเดียวกันหรือไม่ หากไม่เป็นเช่นนั้นตัวเลือกของคุณจะเปลี่ยนเครือข่ายที่คุณใช้อยู่ในปัจจุบัน


แอพที่ฉันตั้งใจจะติดตั้งทั้งหมดจาก appstore แต่ฉันรู้ดีว่าไม่ใช่ทั้งหมดที่สามารถปลอดภัยได้ตลอดเวลาและบางครั้งสิ่งต่าง ๆ จะผ่านการรักษาความปลอดภัยของแอป ดังนั้นฉันจึงพยายามลบบางอย่างที่ฉันไม่ทราบว่าปลอดภัยอย่างสมบูรณ์หรือไม่ สำหรับอินเทอร์เน็ตมันเป็นเครือข่ายส่วนตัวและฉันไม่ได้อาศัยอยู่ในพื้นที่แออัด แต่เนื่องจากฉันใช้บัตรชำระเงินล่วงหน้าหมายความว่าการลองใช้ข้อมูลมือถือมีราคาแพง ฉันอาจลองทำบางสิ่งโดยใช้พีซีเป็นฮอตสปอตดูว่ามันมีความต่างจาก wifi โดยตรงหรือไม่
maam27
โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.