TACERT台灣學術網路危機處理中心

[技術]新的Android惡意軟體結合資訊竊取和釣魚功能

發佈日期：2019-01-04

參考位址：https://www.bleepingcomputer.com/news/security/new-android-malware-combines-info-stealing-and-phishing-features/

消息內容：

新的Android惡意軟體結合資訊竊取和釣魚功能

新聞來源：BleepingComputer

Android惡意軟體結合資料竊取和釣魚功能，潛伏在Google Play中偽裝成合法的應用程式，其中一個惡意軟體被安裝了至少10萬次。Mobstspy偽裝成實用程式或遊戲，主要受到感染區域為印度，但它依然遍及全球，影響了196個國家的使用者。研究發現總共有6個應用程式在Google Play中隱藏惡意軟體。名稱分別是HZPermis Pro Arabe, Flappy Bird, Win7Launcher, Win7imulator，手電筒，Flappy Birr Dog。

大多數應用程式的統計資料顯示它們被安裝了100次，只有兩個例外:
- Win7Launcher，上看5000次安裝
- Win7imulator，上看500,000次安裝
 
將Windows主題移植到Android手機上的應用程式(如上圖所示)大受歡迎。Mobstspy包括網路釣魚功能，當受害者試圖存取他們的Facebook或Google帳戶時，它可以啟動一個假登錄介面。大多數使用者不會識破假的登錄介面，很可能上當受騙。當他們提供使用者名稱和密碼時，惡意軟體會顯示登錄失敗，同時已經被偷偷盜取了。除非使用者使用雙因素身份驗證(2FA)特性保護帳號存取，否則帳戶很容易因為這種方式受到損害。Facebook和Google都支持2FA。

與一般的間諜軟體不同，Mobstspy感興趣的是被入侵設備上更廣泛的資料。除了提取連絡人、通話記錄或文字對話外，它還有一個資料夾清單，用於搜索不同應用程式儲存的圖像和錄製的語音對話。它針對的內容類型可以是音訊、視頻、圖像或檔檔案等任何內容，而且它可以在屬於特定應用程式的資料夾中查看，比如WhatsApp、Messenger、Snapchat、Viber和電話錄音應用程式。甚至藍牙儲存位置、手機鏡頭和聲音目錄也在清單中。

Trend Micro的惡意軟體研究人員發現Mobstspy發送資料到的C&C位址: mobistartapp[.]com, coderoute[.]ma ,hizaxytv[.]com, seepano[.]com。為了傳遞資訊，該惡意軟體依賴於Firebase Cloud Messaging(推播服務)，這是Google的子公司開發的免費雲端方案，用於Android、iOS和web應用程式的消息和通知。

一旦惡意軟體啟動，它首先會檢查設備的網路可用性。然後從C&C伺服器讀取並解析XML設定檔。間諜軟體收集與設備相關的資訊，説明攻擊者保留感染設備的證據，並在未來的活動中只針對特定設備。
 
一旦這些資料被發送到C&C上，設備就會被註冊，惡意軟體就可以通過Firebase消息傳遞服務接收命令並執行它們。

Trend Micro的研究人員表示這些惡意應用程式在2018年就可以下載了，去年2月Google終止其中5個應用程式被下載。最後一個惡意應用程式可能是安裝數量最多的一個，在Play store中被抵制了一段時間，在Android的官方市場上已經無法使用了。儘管Google進行了清理，但這些應用程式仍然可以在協力廠商Android應用程式商店中使用，仍然可以使用Mobstspy感染受到改變外觀或遊戲吸引的使用者的手機。

回最新消息列表頁