此前央視報道的短信鏈接病毒，說是病毒，其實它充其量算是個惡意程序罷了，只是眾多媒體過度渲染，加上眾多安全公司無節(jié)操的借機炒作，將這一款惡意程序神話成了“超級病毒”。那么，本文中小編就和大家說說短信病毒如何中招和手機病毒的前因后果。
之所以說它是惡意程序，是因為當你點擊鏈接，手機會提示你進行下載，下載完安裝時，你可以很清楚的看到軟件的相關權限，顯示會發(fā)送短信、讀取通訊錄以及修改通訊錄。如果大家對于軟件調(diào)用權限比較敏感，可以很輕松的避免中招。
至于這類程序運行的原理，我們就以“XX神器”來進行說明，這款程序還是比較有代表性的，了解了這一惡意程序的運行原理，大家就可以大致了解此類惡意程序的原理，這款“XX神器”分為兩個部分，一個是XXshenqi.apk，另一個是com.android.Trogoogle.apk。后者存在于前者解壓文件下的assets目錄中。我們首先分析XXshenqi.apk，在初始安裝后，用戶點擊app，會出現(xiàn)安裝另外一個apk的信息： 入口Activity（Android組件中最基本也是最為常見用的四大組件）是WelcomeActivity，在這個Activity中，首先會獲取手機中所有的聯(lián)系人信息，然后群發(fā)一條短信，內(nèi)容格式大致為：聯(lián)系人姓名+看這個+http://XXX.XXXXXX.com/XXX/XXX/XX.apk 此鏈接為惡意程序的下載地址，也有很多惡意程序的發(fā)布者將鏈接換為短網(wǎng)址或二維碼鏈接的，只是形式上的不同，實際效果是一樣的，都是為了騙取本機聯(lián)系人點擊惡意鏈接下載病毒進行傳播。
在發(fā)送成功后，應用會執(zhí)行參數(shù)：
SmsManager.getDefault().sendTextMessage(“惡意程序發(fā)布者的手機號″, null, “XXshenqi 群發(fā)鏈接OK”, null, null);
也就是向惡意程序發(fā)布者預設的手機號反饋執(zhí)行信息。
在執(zhí)行了上面一系列動作后，惡意軟件會開啟一個MainActivity，在這個Activity中，安裝一個com.example.com.android.trogoogle的文件，這個文件一般存在于xxshenqi.apk解壓后文件的assets目錄下。如果非要細究這個文件是什么的話，大家可以把它理解為木馬，這一程序能夠自動隱藏圖標。 同時彈出一個登錄框，只不過這個登陸框是個幌子，無論你怎么輸入都會出現(xiàn)密碼錯誤或者賬戶不存在的提示，目的是將用戶導入到一個注冊頁面：RegisterActivity中。
而這個RegisterActivity也并非是真的注冊頁面，在這個頁面中，會讓用戶輸入很多信息，比如身份證號以及姓名。如果你輸入了信息，并點擊了注冊按鈕，那么你的信息就會發(fā)送到惡意程序發(fā)布者的手機上。如果真的到了這步，xxshenqi.apk的任務其實已經(jīng)基本完成了，即使你發(fā)現(xiàn)了不對，卸載了程序也沒有用，因為剛剛木馬已經(jīng)安裝到你的手機中了。木馬程序會自動執(zhí)行隱藏圖標的功能，接著打開一個ListenMessageService的服務，在后臺運行。
ListenMessageService服務，首先會注冊一個短信數(shù)據(jù)庫的觀察者，檢測短信數(shù)據(jù)庫的變化，一旦用戶的短信數(shù)據(jù)庫發(fā)生變化（收到信息或者更新信息），那么觀察者就會執(zhí)行回調(diào)函數(shù)執(zhí)行，首先判斷是否是命令短信，命令短信是用來向木馬發(fā)送命令的。截獲的短信會全部發(fā)往黑客手中，值得注意的是一般木馬都會自行判斷短信的優(yōu)先級，比如一些銀行、支付平臺發(fā)送的驗證碼，一般都會被單獨處理。
這類木馬中一般都具備發(fā)送偽造短信給用戶的功能，算是種自我保護措施，日常不帶關鍵詞的短信木馬是不會進行攔截并發(fā)送的，防止用戶過早發(fā)現(xiàn)。
除此之外，多數(shù)手機木馬存在的惡意行為是讀取用戶收件發(fā)件箱短信，以及手機中的聯(lián)系人。 當截獲完短信之后，木馬就又開啟了一個MySendEmailService服務。這個服務主要用于給黑客發(fā)送電子郵件，郵件中多包含主機，端口，賬戶名，密碼等重要信息。
作為補充，多數(shù)木馬還可以繼承系統(tǒng)的BroadcastReceiver組件，一旦接收到短信，就會觸發(fā)代碼，并判斷指令所要求木馬執(zhí)行的具體功能。 其中包含：
readmessage 發(fā)送郵件命令
sendmessage發(fā)送短信命令
test測試命令
makemessage偽造短信命令
sendlink發(fā)送連接的命令
當然，這里也做了具體處理，就是判斷是否是普通短信和網(wǎng)購信息，如果是網(wǎng)購信息，程序會自動加上一個Flag發(fā)送。
至此，這款病毒究竟做了些啥就基本清楚了，所做的操作也是一般短信木馬的常有功能，包括截獲短信并發(fā)送，發(fā)送惡意鏈接進行傳播（冒充聯(lián)系人發(fā)送，更有迷惑性），支持接收指令，以及發(fā)送惡意偽造的短信給用戶。雖然聽起來的確很可怕，不過這些都是能夠避免的，對于安卓手機來說，根本不存在絕對性的病毒程序，病毒只有借助誘惑類軟件或其他惡意軟件的幫助才能有進一步危害用戶的機會，面對這些病毒，最好的辦法還是不要去一些不正規(guī)的應用市場下載應用，同時注意安裝時認清權限，在不了解軟件的情況下，發(fā)現(xiàn)軟件包含讀取系統(tǒng)日志、調(diào)用短信等敏感權限信息，那么就不要輕易安裝。手機病毒不可怕，可怕的是大家的使用習慣，以及不夠了解它。
