Malware entfernen (XiaoCai X9 G800_Z5_YG_EN_C1_V0.4_20130910 ROM malware removal)

[Hawk0001]

Hallo Leute, ich habe es jetzt auch geschafft, das Skript zum laufen zu bringen. Der erste Versuch über CWM.zip führte zu dem gleichen Fehler wie in Post #14 beschrieben. Meine anschließenden Versuche im Factory Mode waren immer negativ, trotz der unterschiedlichen USB-Einstellungen. Mein Gerät wurde nicht richtig erkannt.

Dann habe ich im hochgefahrenen Zustand das X9 mit den Einstellungen von AsusFreak #17 angeschlossen und das Skript gestartet und nach einer Root-Freigabe hat es dann endlich geklappt. Im Ergebnis etwas umständlich aber der Weg ist das Ziel oder so ähnlich

 

[krusovice]

Ok, danke für die Info. Mir ist das unter Linux so nicht aufgefallen, da "adb shell" immer anstandslos funktioniert hat.

Ich habe mittlerweile eine funktionierende Zip für's CWM gebaut und in die Anleitung im ersten Post hinzugefügt. Dann ist es bedeutend einfacher ...

Viele Grüße,
Krusovice

 

[Hawk0001]

Ok, Danke, ich glaube ich habe die aus Post #13 runter geladen und habe gedacht, dass beide identisch sind. Aber ich hab es ja auch so lösen können. Hätte man nicht eigentlich auch über den Rootexplorer die Apps aus dem System/App-Ordner löschen können??

 

[krusovice]

Wahrscheinlich würde das auch gehen. Allerdings: Die zwei Wland Prozesse laufen dann noch im Hintergund. Man müsste dann zuerst die Binaries löschen und danach die Prozesse killen ... Ansonsten könnten die in dem Moment ein Update wiederherstellen. Ob die zwei Prozesse sich gegenseitig überwachen weiss ich nicht.

 

[defybrillator+]

Bist du dir bei com.adups.fota sicher, dass diese schädlich ist? In titanium wird es als System Aktualisierung angezeigt. Wenn ich diese deaktiviere bekomme ich einen force close unter Einstellungen - über das Telefon - System Update.

Ich vermute das es die OS Update Funktion ist... Was meint ihr?

Nachdem ich die Maleware nach obigen Schritten entfernt habe sehe ich nun gar keine Systemaktualisierung mehr, obwohl sie davor vorhanden war.
Somit dürfte die Entfernung etwas über das Ziel hinausgeschossen sein
Gibt es Möglichkeiten com.adups.fota wieder einzuspielen?

Nachtrag: Ja, BackUp ist mir bekannt, allerdings habe ich danach ja auch die anderen Sachen wieder drauf, ich suche nach einer selektiveren Methode

 

[lauxmueller]

Natürlich stellt sich auch die Frage ob überhaupt da noch ein Update kommt....

 

[krusovice]

Dass ich den OTA-Updater entfernt habe war Absicht.
Ich weiss nicht, was ich von einem ROM-Update erwarten soll: Ich habe das letzte WE damit zugebracht, den Nachlade- und Update-Mechanismus vom wland zu analysieren, und bin einfach nur erschrocken, wie perfide das ganze ist. Für die Geheimdienste wäre das Tool ein feuchter Traum. Das schlimmste aber ist, dass sowas vom Hersteller des Gerätes kommt.

Wenn du den FOTA-Updater wiederherstellen willst: extrahiere die Dateien aus dem G800er ROM und kopiere sie wieder zurück. Dazu brauchst du Root-Rechte, ADB und das originale ROM. Oder du extrahierst die aus deinem Backup (system.ext4.tar ist ein unkomprimiertes Tar-Archiv), das ist noch einfacher.

Viele Grüße,
Krusovice

 

[pio3]

Hi krusovice

/system/bin/wland
Der Daemon aktualisiert sich bei Bedarf selber. Stündlich, täglich und monatlich versucht er sich dann, beim Server zu melden. Eine Verbindung wird nur dann aufgebaut, wenn auch WLAN-Verbindung besteht, so dass keine Kosten entstehen.

nutze mein X9 vom ersten Tag an grundsätzlich mit dauerhaft aktiviertem WLAN.
Seit dem 3. Januar läuft das G800-ROM dank Deiner "Kammerjäger"-Dienste bereinigt und mir scheint, dass die Akku-Laufzeit seit diesem Zeitpunkt (bei meinem Einsatzszenario) wesentlich zugenommen hat! Werde weiter beobachten...

pio3

 

[Screemer]

Gestern hatte ich mal wieder einen update-hinweis in asiatischen-schriftzeichen. leider für mich nicht entzifferbar. klickt man ihn fängt ein download an, der nur durch abschießen/stoppen der download-app aufhaltbar ist:

ach und ich hab zieg screenshot-tools getestet. allerdings funktionierte keines auf dem g800-rom. da gibt es nur verzerrte streifen. der framebuffer scheint hier nicht richtig ausgelesen zu werden. die screenhots sehen so aus:

 

[krusovice]

Mahlzeit!

@pio
Interessante Bebachtung mit der Akkulaufzeit, ich werde auch mal drauf achten.

@Screemer
Läuft bei dir eventuell ein wland-Prozess im Hintergrund?
Screenshots kannst du auch manuell von der Konsole aus ziehen: android-fb2png - Capture framebuffer and save it in png format - Google Project Hosting
Mit solchen Tools habe ich den Screenshot vom Factory-Mode gemacht.

Viele Grüße,
Krusovice

 

[Screemer]

der prozess läuft mit ziemlicher sicherheit noch, denn ich habe sie noch nicht entfernt. das werde ich allerdings bald nachholen.

 

[pio3]

Hi Screemer,

ach und ich hab zieg screenshot-tools getestet. allerdings funktionierte keines auf dem g800-rom. da gibt es nur verzerrte streifen.

Du kannst doch die android-eigene Screenshot-Funktion nutzen (siehe Bild unten). Geht auch mit dem G800 wunderbar...

pio3

 

[Screemer]

damit kannst du ja mal versuchen einen screenshot der benachrichtigungen zu machen. hab ich nicht hinbekommen.

 

[pio3]

Hi Screemer,

damit kannst du ja mal versuchen einen screenshot der benachrichtigungen zu machen. hab ich nicht hinbekommen.

geht hier problemlos. Siehe Anhang.
(Du kannst den Screenshot auch über gleichzeitiges Drücken von POWER und VOLUME MINUS auslösen...)

pio3

 

[Screemer]

wie bitte löst du den screenshot aus. im g800 rom gibt es diesen button eigentlich gar nicht. hab ihn per gravitybox aktiviert. drücke ich diesen, dann geht springt es auf den homescreen und macht dort nen screenshot. auch funktioniert power+vol- im g800 rom nicht.

€dit: ahh. screenshot-button drücken und dann schnell benachrichtigungsleiste auf. tastenkombi funktioniert allerdings wie gesacht nicht.

 

[pio3]

Hi Screemer,

tastenkombi funktioniert allerdings wie gesacht nicht.

das stimmt einfach nicht!
Versuche bitte mal POWER und VOLUME MINUS etwas länger (!) gemeinsam zu drücken...

pio3

 

[Screemer]

seit dem aktivieren des schnelleinstellungsknopfes funktioniert es bei mir auch. vorher ging es nicht.

 

[Hawk0001]

Hallo, bezüglich der Akkuleistung habe ich auch den Eindruck, dass selbige nicht so schnell abnimmt. Ist leider nur subjektiv gemessen aber heute hatte ich nach 2 Tagen noch gute 58 % bei gleichbleibenden Betriebsverhalten und diese Werte hatte ich bist dato noch nie Erreicht. Werde mal Testen, wie rasant es weiter runter geht.

So, nun knapp 24 Stunden später habe ich nur noch 8% Akku. Heute Morgen waren es noch 51%, dann nahm die Anzahl im laufe des Vormittages zusehend bis 29% ab. Anschließend kehrte wieder etwas ruhe ein, bis zu dem jetzigen Stand. Insgesamt denke ich noch gute Werte aber unter 50% sollte man zeitnah eine Steckdose bei haben.

 

[pio3]

Hi krusovice

@pio
Interessante Bebachtung mit der Akkulaufzeit, ich werde auch mal drauf achten.

inzwischen kann ich sagen, dass (wohlgemerkt: bei meinem Einsatzszenario) das bereinigte G800 meinem X9 eine um gut 50% längere Laufzeit beschert.
Ebenso fällt auf, dass der Entladeknick ab 40% (der immer noch vorrhanden ist) nicht mehr so heftig durchschlägt.
Krusovice: Geniale Arbeit!
Und ich wiederhole mich hier gern: Danke!

pio3

 

[krusovice]

Hallo Pio3,

deine Ergebnisse sind sehr interessant. Der Wland poll zwar zyklisch mit aufsteigender Wartezeit, ob eine neues Ereignis eingetroffen ist (5x jede Sekunde, 5x alle 2 Sekunden, 5x alle 4 Sekunden ... 5x alle 256 Sekunden ... usw), aber das ist so eigentlich "energiesparend" implementiert. Ich vermute, dass die Energiefresser in AmountTool.apk und airpush.apk stecken.

Viele Grüße und vielen Dank für's Ausprobieren,
Krusovice