Opierając się na moich poradach OP, sprawdziło się jako aplikacja systemowa jako złośliwe oprogramowanie o nazwie System Locker
z nazwą pakietu com.tihomobi.lockframe.syslocker . Problem wydaje się być wynikiem aktualizacji systemu dla niektórych użytkowników urządzenia.
Jak zwykle w przypadku aplikacji systemowej, jeśli skorzystasz z opcji Wyłącz w obszarze Ustawienia → Aplikacje → Aplikacje systemowe / Wszystkie aplikacje → sprawca, to zdecydowanie wyłącz tę aplikację, wymuś jej zatrzymanie lub zrestartuj system Android. Problem powinien zostać rozwiązany do momentu przywrócenia ustawień fabrycznych urządzenia.
Rozwiązywanie problemów nr 1
Oto jak dowiedziałem się o sprawcy. Wbudowane narzędzie dla systemu Android dumpsys pokazuje między innymi, która aplikacja została wywołana przez inną aplikację. Dzwoniący jest nazywany pakietem telefonicznym.
Pod warunkiem, że masz konfigurację adb i debugowanie USB z powodzeniem na komputerze PC i urządzeniu z Androidem wykonaj następujące czynności:
- utrzymuj urządzenie podłączone do komputera
- uruchom ponownie urządzenie lub wymuś zatrzymanie tej domyślnej aplikacji przeglądarki
- pozwól złośliwemu oprogramowaniu wykonać swoją pracę, czyli uruchomić przeglądarkę automatycznie
zaraz po uruchomieniu przeglądarki nie rób nic fizycznie z urządzeniem, ale uruchom następującą komendę adb na komputerze:
adb shell dumpsys activity activities
Oto dane wyjściowe z urządzenia OP :
DZIAŁANIA ZARZĄDZAJĄCE AKTYWNOŚCIĄ (działania związane ze zrzutami)
Wyświetl 0 (działania od góry do dołu):
Stos nr 1:
Identyfikator zadania nr 2
* TaskRecord {8190ba1 # 2 A = android.task.browser U = 0 sz = 1}
userId = 0 efektywneUid = u0a64 mCallingUid = u0a26 mCallingPackage = com.tihomobi.lockframe.syslocker
powinowactwo = android.task.browser
intent = {act = android.intent.action.VIEW dat = http: //im.apostback.com/click.php? c = 362 i key = 9wl83884sg67y1acw3z56z90 & s4 = 8% 2FdNwcNuQFEjjaucho5IqA% 3D% 3D flg = 0x10000000 pkg. cmp przeglądarki = com.android.browser / .BrowserActivity}
realActivity = com.android.browser / .BrowserActivity
...
...
Hist # 0: ActivityRecord {66cd59b u0 com.android.browser / .BrowserActivity t2}
packageName = com.android.browser ProcessName = com.android.browser
launchedFromUid = 10026 launchedFromPackage = com.tihomobi.lockframe.syslocker userId = 0
app = ProcessRecord {5ad1810 4337: com.android.browser / u0a64}
Intent {act = android.intent.action.VIEW dat = http://im.apostback.com/click.php?c=362&key=9wl83884sg67y1acw3z56z90&s4=8%2FdNwcNuQFEjjaucho5IqA%3D%3D flg = 0x10000000 pbr = com. cmp = com.android.browser / .BrowserActivity}
W wyniku:
- com.android.browser to nazwa pakietu standardowej przeglądarki Android w twoim urządzeniu
- com.tihomobi.lockframe.syslocker to nazwa pakietu aplikacji szkodliwego oprogramowania i jest nazywana pakietem wywołującym.
Jeśli znajdziesz złośliwe oprogramowanie, unikaj następnego rozwiązywania problemów i przejdź do nagłówka Nuke malware .
Rozwiązywanie problemów # 2
(W odpowiedzi na opublikowany tutaj duplikat - winowajcą była Farming Simulator 18 )
W niektórych okolicznościach powyższe rozwiązywanie problemów może nie być w stanie pomóc, na przykład podczas wywoływania nazwy pakietu to nazwa pakietu samej przeglądarki wyświetlana w danych wyjściowych programu dumpsys. W takim przypadku wolęlogcat. Skonfiguruj logcat w następujący sposób:
adb logcat -v długi, opisowy | grep "dat = http" # możesz również grepować wszystko z adresu URL. To zależy wyłącznie od Ciebie.
adb logcat -v długi, opisowy> logcat.txt # alternatywa; jeśli grep nie jest zainstalowany w twoim systemie operacyjnym. Musisz teraz przeszukać ten plik.
Teraz odblokuj urządzenie i pozwól, aby przeglądarka z tym adresem URL została uruchomiona automatycznie. Ponadto, naciśnij Ctrlz C, jeśli Oszczędzasz wyjście do pliku.
Dane wyjściowe, których szukamy, wyglądałyby podobnie do:
[11–27 16: 03: 22.592 3499: 6536 I / ActivityManager]
START u0 {act = android.intent.action.VIEW dat = https: //livemobilesearch.com / ... flg = 0x10000000 pkg = org.mozilla.firefox cmp = org.mozilla.firefox / .App}
od UID 10021
...
[11–27 16: 03: 22.647 3499: 15238 I / ActivityManager]
START u0 {act = android.intent.action.VIEW dat = https: //livemobilesearch.com / ... pkg = org.mozilla.firefox cmp = org.mozilla.firefox / org.mozilla.gecko.BrowserApp}
od Uid 10331
Zobacz dwa wyróżnione identyfikatory UID 10021 i 10331. Jeden z nich (w Twoim przypadku byłyby inne) dotyczy uruchomionej aplikacji przeglądarki, a jednym z nich jest złośliwe oprogramowanie żądające tego adresu URL. Jak więc znaleźć, co jest co?
Jeśli masz uprawnienia roota , po prostu wykonaj:
adb shell su -c 'ls -l / data / data / | grep u0_a 21 '
adb shell su -c 'ls -l / data / data / | grep u0_a 331 '
Dane wyjściowe będą wyglądać następująco:
drwx ------ 5 u0_a21 u0_a21 4096 01.01.2018 10:31 com.android.chrome
drwx ------ 5 u0_a331 u0_a331 4096 01.01.2018 10:31 com.tihomobi.lockframe.syslocker
Jeśli nie masz dostępu do konta root , wykonaj:
adb shell dumpsys package > packages_dump.txt
Teraz wyszukaj wiersz ze swoimi identyfikatorami UID, takimi jak „userId = 10021” i „userId = 10331”. Linia nad wyszukiwaną linią dałaby ci nazwę pakietu i może wyglądać mniej więcej tak:
Pakiet [ com.android.chrome ] (172ca1a):
userId = 10021
...
Pakiet [ com.tihomobi.lockframe.syslocker ] (172ca1a):
userId = 10331
Dwie nazwy pakietów to com.android.chrome (dla przeglądarki Chrome - na pewno nie złośliwe oprogramowanie) i com.tihomobi.lockframe.syslocker . Aby poznać nazwę aplikacji z nazwy pakietu, skorzystaj z mojej odpowiedzi tutaj .
Nuke złośliwego oprogramowania
Teraz, gdy znasz już winowajcę, możesz go wyłączyć za pomocą GUI, jak wspomniano powyżej. Jeśli nie jest to możliwe, wykonaj:
adb shell pm disable-user PKG_NAME # wyłącza aplikację
adb shell pm odinstaluj - użytkownik 0 PKG_NAME # usuwa aplikację dla głównego użytkownika
adb shell am force-stop PKG_NAME # tylko wymusza zatrzymanie aplikacji
Zamień PKG_NAME na nazwę pakietu złośliwego oprogramowania, które zauważyłeś podczas powyższego rozwiązywania problemów.
To powinno wystarczyć. Ponadto możesz również rozważyć usunięcie aplikacji złośliwego oprogramowania na stałe dla wszystkich użytkowników, ale wymaga to jednak dostępu do konta root.