Як дізнатися, яка програма намагається відкрити веб-сайти зі спамом?


11

Нещодавно я придбав новий смартфон Android. Після налаштування і завантаження на мене своїх контактів я подумав, що це буде.

Тепер через кілька днів, кожного разу, коли я розблокую телефон, проходить кілька секунд, перш ніж він відкриє браузер за замовчуванням і відкриває веб-сайт зі спамом. Я спробував побачити, що це викликає. Я видалив будь-які програми, які не знав, яким я можу довіряти, але проблема не зникала. Намагаючись вирішити це на деякий час, я відмовився і скинув телефон до заводських налаштувань. Тепер після скидання за замовчуванням він пройшов без проблем приблизно за тиждень до появи проблеми.

Я спробував видалити деякі програми, щоб перевірити, чи викликають вони це, але нічого не змінилося після цього. Однак я помітив, що якщо я вимкну wifi, він навіть не спробує відкрити браузер (я не пробував мобільні дані, оскільки у мене немає пакета). Звідси я відчуваю, що це може бути пов'язано з чимось у мережі, але це не пояснює, чому тільки у цього телефону виникне проблема, коли в цій самій мережі є принаймні 6 андроїд-телефонів.

Я сподіваюся, що є хтось, хто може допомогти мені знайти причину цього питання та допомогти мені вирішити його.

TL; DR Під час розблокування мого телефону він відкриває браузер і намагається відкрити веб-сайт зі спамом. Але це робиться лише під час підключення до wifi.

Що я спробував досі:

  • Скидання заводських налаштувань (допомагало лише обмежений час)
  • Очищення кешу браузера та всіх пов’язаних даних
  • Видалення будь-якої програми, яку я не знаю, щоб бути надійною
  • Спроба знайти те, що викликає це (схоже, потрібен певний тип підключення до Інтернету ??)

Пристрій - Doogee Shoot 1. Що стосується браузера, за замовчуванням встановлено браузер Android, але якщо я зміню типовий, він також використовує Chrome. Здається, справді просто використовується браузер, встановлений за замовчуванням.


@beeshyams я кілька разів намагався очистити дані веб-переглядача, і якщо очищення цього не зробило, то скидання фабрики повинно було вирішити файли cookie, але це просто повернулося через деякий час.
maam27

3
@beeshyams зловмисне програмне забезпечення не обов'язково перетворювало його в системний додаток (наприклад, це не пояснює, чому минуло тиждень після скидання заводу, щоб проблема знову з’явилася). Я хотів би перевірити, чи є додатки із слухачами для трансляції розблокування екрана, щоб звузити кандидатів (див.: Виявлення події розблокування телефону , схоже, найкращий кандидат Intent.ACTION_USER_PRESENT).
Izzy

@izzy: Дійсна точка. Дякую. Чи не означає це, що йому доведеться видалити всі користувацькі програми як простий спосіб ізоляції після резервного копіювання даних?
beeshyams

1
@beeshyams Я не сказав "видалити" - я написав перевірку на програми, у яких встановлений такий слухач, а потім спочатку явно вирішуйте питання. Погляньте на інформацію про додатки ( Playstore / FDroid / скріншот , позначте тут "Приймачі").
Izzy

1
@Izzy, чи можна було б піти на чат і подивитися, чи зможемо ми знайти цю проблему? оскільки коментарі також будуть тримати коментарі трохи коротше
maam27

Відповіді:


19

На основі усунення несправностей, що виконуються за моїми порадами, винуватцем є системний додаток як шкідливе програмне забезпечення на ім’я System Locker з назвою пакета com.tihomobi.lockframe.syslocker . Виглядає, що ця проблема є результатом оновлення системи для деяких користувачів пристрою.

Як зазвичай у системному додатку, якщо ви користуєтесь опцією « Відключити» у розділі Налаштування → Програми → Системні програми / Усі додатки → винуватець, тим не менш, вимкніть це додаток, примусово зупиніть його чи перезавантажте Android. Проблема має бути вирішена, поки ви не встановите заводські налаштування.


Виправлення неполадок №1

Ось як я дізнався винуватця. Вбудований інструмент Android dumpsys, серед іншого, показує, яку програму викликав, який інший додаток. Абонент називається Пакетом виклику.

За умови, що у вас налаштування і успішно на ПК та пристроях Android виконайте такі дії:

  1. тримайте пристрій підключеним до ПК
  2. перезавантажте пристрій або примусово зупиніть цю програму браузера за замовчуванням
  3. нехай зловмисне програмне забезпечення виконує свою роботу, тобто автоматично запускає браузер
  4. як тільки браузер запускається, не робіть нічого з пристроєм фізично, але запускайте таку команду adb на ПК:

    adb shell dumpsys activity activities
    

Ось вихід із пристрою ОП :

ДІЯЛЬНІСТЬ УПРАВЛІННЯ ДІЯЛЬНІСТЮ (діяльність по сміттєзвалищам)
Відображення № 0 (діяльність зверху вниз):
  Стек №1:
    Ідентифікатор завдання №2
    * Запис завдань {8190ba1 # 2 A = android.task.browser U = 0 sz = 1}
      userId = 0 ефективніUid = u0a64 mCallingUid = u0a26 mCallingPackage = com.tihomobi.lockframe.syslocker
      спорідненість = android.task.browser
      intent = {act = android.intent.action.VIEW dat = http: //im.apostback.com/click.php? c = 362 & key = 9wl83884sg67y1acw3z56z90 & s4 = 8% 2FdNwcNuQFEjjaucho5IqA% 3D% 3D flg = 0x10000 pg.g = 0x10000 pg браузер cmp = com.android.browser / .BrowserActivity}
      realActivity = com.android.browser / .BrowserActivity
...
...
Hist # 0: ActivityRecord {66cd59b u0 com.android.browser / .BrowserActivity t2}
          packageName = com.android.browser processName = com.android.browser
          запускається FromUid = 10026 запускається FromPackage = com.tihomobi.lockframe.syslocker userId = 0
          app = ProcessRecord {5ad1810 4337: com.android.browser / u0a64}
          Намір {act = android.intent.action.VIEW dat = http://im.apostback.com/click.php?c=362&key=9wl83884sg67y1acw3z56z90&s4=8%2FdNwcNuQFEjjaucho5IqA%3D%3D flg = 0x10000000 pkg cmp = com.android.browser / .BrowserActivity}

У виході:

  • com.android.browser - назва пакету акціонерного браузера Android на вашому пристрої
  • com.tihomobi.lockframe.syslocker - це назва пакету програми зловмисного програмного забезпечення та називається пакетом виклику.

Якщо ви знайшли зловмисне програмне забезпечення, уникайте наступного усунення несправностей та перейдіть до заголовка Заглушити зловмисне програмне забезпечення .


Усунення несправностей №2

(У відповідь на дублікат, розміщений тут - винуватцем програми було Farming Simulator 18 )

За певних обставин вищезазначене усунення несправностей може не допомогти, наприклад, коли виклик імені пакета - це ім'я пакета самого браузера, показане у виводі dumpsys. У такому випадку віддайте перевагу. Налаштування логката так:

adb logcat -v довгий, описовий | grep "dat = http" # ви можете також отримати відповідь на будь-що з URL-адреси. Це залежить тільки від вас.
adb logcat -v довгий, описовий> logcat.txt # альтернатива; якщо grep не встановлений у вашій ОС. Вам потрібно шукати цей файл зараз.

Тепер розблокуйте пристрій і нехай браузер із цією URL-адресою запускається автоматично. Крім того , натисніть Ctrlз , Cякщо ви зберігаєте висновок в файл.

Вихід, який ми шукаємо, виглядатиме схожим на:

[11-27 16: 03: 22.592 3499: 6536 Я / Управління активністю]
START u0 {act = android.intent.action.VIEW dat = https: //livemobilesearch.com / ... flg = 0x10000000 pkg = org.mozilla.firefox cmp = org.mozilla.firefox / .App} 

від uid 10021
...

[11-27 16: 03: 22.647 3499: 15238 Я / Управління активністю]
START u0 {act = android.intent.action.VIEW dat = https: //livemobilesearch.com / ... pkg = org.mozilla.firefox cmp = org.mozilla.firefox / org.mozilla.gecko.BrowserApp} 

від uid 10331

Див. Два виділені UID 10021 та 10331. Один із них (вони відрізняються у вашому випадку) призначений для запуску програми для браузера, а один із них - програма зловмисного програмного забезпечення, що запитує цю URL-адресу. Отже, як знайти що таке?

Якщо у вас є кореневий доступ , просто зробіть:

adb shell su -c 'ls -l / data / data / | grep u0_a 21 '
adb shell su -c 'ls -l / data / data / | grep u0_a 331 '

Вихід буде таким:

drwx ------ 5 u0_a21 u0_a21 4096 2018-01-01 10:31 com.android.chrome 
drwx ------ 5 u0_a331 u0_a331 4096 2018-01-01 10:31 com.tihomobi.lockframe.syslocker

Якщо у вас немає кореневого доступу , зробіть:

adb shell dumpsys package > packages_dump.txt

Тепер шукайте рядок з вашими UID, такими як "userId = 10021" та "userId = 10331". Рядок над пошуковим рядком дасть вам назву пакета і може виглядати приблизно так:

Пакет [ com.android.chrome ] (172ca1a):
    userId = 10021
...
Пакет [ com.tihomobi.lockframe.syslocker ] (172ca1a):
    userId = 10331

Два імені пакета - com.android.chrome (для браузера Chrome - звичайно, це не зловмисне програмне забезпечення) та com.tihomobi.lockframe.syslocker . Щоб дізнатися назву програми з назви пакета, скористайтеся моєю відповіддю тут .


Запустіть шкідливе програмне забезпечення

Тепер, коли ви знаєте винуватця, ви можете відключити його через GUI, як зазначено вище. Якщо це неможливо, зробіть:

вечір adb shell pm-користувач PKG_NAME # вимикає додаток
видалити додаток оболонки вечора - користувач 0 PKG_NAME # видаляє додаток для основного користувача
adb shell am force-stop PKG_NAME # only force - зупиняє додаток

Замініть PKG_NAME на ім'я пакета зловмисного програмного забезпечення, яке ви зазначили в усуненні несправностей вище.

Це повинно зробити трюк. Крім того, ви також можете розглянути можливість видалення зловмисного програмного забезпечення назавжди для всіх користувачів, але для цього потрібен кореневий доступ.


1
Дякую за те, що ви взяли чат, куди мені довелося піти - і чудовий аналіз, +1! Дізнався нового про dumpsysце :)
Izzy

@Izzy Я радий, що тобі це подобається. :)
Firelord

+1 Приємне глибоке копання 👍
Ірфан Латиф

@IrfanLatif спасибі
Firelord

0

Трохи більше інформації потрібно для вирішення проблеми, хоча я спробую знайти можливі проблеми. Який браузер? Яка модель телефону? Її купували з офіційних джерел?

Теоретично скидання фабрики мало допомогти вам у вирішенні проблеми. Оскільки цього не сталося, є ще кілька місць, де можна отримати певну форму рекламного ПЗ. Перш за все, ви сказали, що ви видаляєте деякі програми? Які додатки зокрема? Чи з'явилося це після встановлення певного програмного забезпечення?

Це ваш wifi чи ви користуєтесь загальнодоступним? Якщо вони є загальнодоступними, зазвичай компанії надсилають запити на встановлення додатків та рекламу через wifi порівняно часто. Якщо ви живете в / поблизу зайнятої місцевості, не здивуєтесь, якщо це буде лише хтось, хто використовує рекламу свого продукту. Спробуйте скористатися іншим або іншим Wi-Fi, перевірте, чи проблема не зникає. Якщо цього немає. Це проблема з мережею, яку ви використовуєте, а значить, вам, швидше за все, потрібно буде змінити. Ви можете спробувати зв’язатися зі своїм провайдером, щоб допомогти вам у цьому (Якщо у вас була така проблема раніше, мої постачальники провайдерів допомогли мені після звернення в службу підтримки). Крім того, подивіться, чи проявляється така ж проблема в мобільній мережі. Якщо цього немає, то вашим варіантом буде змінити мережу, яку ви зараз використовуєте.


Програми, які я мав на увазі, усі були встановлені з програми, але я розумію, що не всі вони можуть бути безпечними у будь-який час, і іноді речі минають безпеку. тому я спробував видалити деякі, про які я не знав, чи повністю безпечні вони чи ні. що стосується Інтернету, це приватна мережа, і я не живу в багатолюдній зоні. Але оскільки використання картки попереднього платежу означатиме, що спроба мобільних даних стає дорогою. Я можу спробувати щось, використовуючи ПК як точку доступу, побачте, чи має це відмінність від Wi-Fi безпосередньо.
maam27
Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.