資訊專欄INFORMATION COLUMN
摘要：經(jīng)錢盾反詐實(shí)驗(yàn)室研究發(fā)現(xiàn)，該批惡意應(yīng)用屬于新型?？尚艖?yīng)用商店繞過殺毒引擎，這樣病毒自然能輕松入侵用戶手機(jī)。安全建議建議用戶安裝錢盾等手機(jī)安全軟件，定期進(jìn)行病毒掃描。
背景
近期，一批偽裝成flashlight、vides和game的應(yīng)用，發(fā)布在google play官方應(yīng)用商店。經(jīng)錢盾反詐實(shí)驗(yàn)室研究發(fā)現(xiàn)，該批惡意應(yīng)用屬于新型BankBot。Bankbot家族算得上是銀行劫持類病毒鼻祖，在今年年初曾爆發(fā)，之前主要針對(duì)歐洲國(guó)家，可劫持50多家銀行應(yīng)用，而新發(fā)酵的BankBot已將攻擊目標(biāo)擴(kuò)散到全球，可劫持銀行增加到145家。
那么新型BankBot是怎么再次入侵用戶手機(jī)？
能上架應(yīng)用商店和入侵用戶手機(jī)，BankBot使用了AVPass技術(shù)，包括針對(duì)靜態(tài)分析和動(dòng)態(tài)沙盒的逃逸，這樣成功繞過大多數(shù)殺毒引擎?？尚艖?yīng)用商店＋繞過殺毒引擎，這樣病毒自然能輕松入侵用戶手機(jī)。本文接下來的內(nèi)容將解析BankBot是如何規(guī)避殺毒引擎，病毒劫持釣魚過程可參考《警惕一大波銀行類木馬正在靠近，新型BankBot木馬解析》。
AVPass分析
1、使用成熟的AVPass技術(shù)，可繞過反病毒檢測(cè)系統(tǒng)
病毒AvPass工作流程圖如下：
Binary Obfuscation
混淆自身特征，包括類名、函數(shù)名、字符串加密、反射調(diào)用，并將待劫持應(yīng)用包名sha1編碼，隨后使用加固技術(shù)，將惡意dex打包加密。處理后的app如下圖：
2、對(duì)抗動(dòng)態(tài)沙盒
通過自檢測(cè)運(yùn)行環(huán)境和增加用戶行為交互對(duì)抗沙盒，新型BankBot只有同時(shí)滿足以下4條才會(huì)觸發(fā)惡意行為：
運(yùn)行在Android5.0以及以上設(shè)備
運(yùn)行設(shè)備非俄羅斯、巴西、烏克蘭用戶
檢測(cè)運(yùn)行環(huán)境，若非真機(jī)環(huán)境將不會(huì)觸發(fā)惡意行為
用戶行為交互，點(diǎn)擊按鈕
下圖運(yùn)行設(shè)備檢測(cè)
3、FCM遠(yuǎn)控，獲取短信驗(yàn)證碼
目前，各大銀行實(shí)施雙因素認(rèn)證即在支付過程中進(jìn)行身份認(rèn)證和基于手機(jī)動(dòng)態(tài)密碼的驗(yàn)證。BankBot在通過釣魚拿到用戶銀行身份信息后，還差動(dòng)態(tài)短信，之前BankBot直接使用短信劫持，但這樣殺軟可通過靜態(tài)或動(dòng)態(tài)檢測(cè)出惡意行為。新型BankBot通過集成谷歌提供的Firebase Cloud Messaging(簡(jiǎn)稱FCM)框架，利用FCM向指定設(shè)備發(fā)送指令數(shù)據(jù)，從而獲取受害者短信驗(yàn)證碼，也就是控制端在成功釣魚后，通過FCM下發(fā)獲取短信的指令，病毒讀取最新短信，通過網(wǎng)絡(luò)上傳至控制端。下圖整個(gè)攻擊流程。
FCM下發(fā)的指令數(shù)據(jù)還包括：更新C&C地址、彈偽造的通知欄、界面劫持?jǐn)?shù)據(jù)，其中彈偽造的通知欄和界面劫持都是BankBot的釣魚手段。下圖下發(fā)的指令數(shù)據(jù)。
攻擊者一旦成功截獲受害者銀行賬號(hào)、密碼和短信動(dòng)態(tài)驗(yàn)證碼，將繞過銀行雙因素認(rèn)證，這樣受害者們不僅僅構(gòu)造成了一個(gè)可以被攻擊者控制的移動(dòng)僵尸網(wǎng)絡(luò)，更成了攻擊者的天然提款機(jī)。
安全建議
1、建議用戶安裝錢盾等手機(jī)安全軟件，定期進(jìn)行病毒掃描。
2、切勿點(diǎn)擊任何陌生鏈接，尤其是短信、QQ、微信等聊天工具中不熟識(shí)的“朋友”發(fā)來的鏈接。
作者：錢盾反詐實(shí)驗(yàn)室，更多安全類熱點(diǎn)信息和知識(shí)分享，請(qǐng)關(guān)注阿里聚安全的官方博客
文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址：http://www.ezyhdfw.cn/yun/11266.html
摘要：月同時(shí)，約有百萬用戶在谷歌應(yīng)用商店里感染了惡意軟件，它隱藏在超過多個(gè)流行的游戲中，例如。近日安全研究者發(fā)現(xiàn)在第三方應(yīng)用市場(chǎng)和谷歌應(yīng)用商店存在上千款惡意偽裝軟件。是如何工作的首先上傳至谷歌應(yīng)用市場(chǎng)，偽裝成名為的通信工具。 如果你認(rèn)為在官方應(yīng)用市場(chǎng)里下載app就覺得安全的話，小編可以負(fù)責(zé)任的回答你：too young too simple,sometimes native 今年4月，Ban...
摘要：就在近期，阿里聚安全檢測(cè)到大量新型家族木馬，木馬偽裝成等應(yīng)用，可劫持全球至少家大型銀行手機(jī)用戶。如果不確定手機(jī)是否毒，可以安裝阿里錢盾等手機(jī)安全軟件，對(duì)手機(jī)上的應(yīng)用進(jìn)行檢測(cè)，防止高風(fēng)險(xiǎn)惡意應(yīng)用的安裝。 背景 來自安全公司Dr.Web的研究人員說，最近一個(gè)未命名的Android銀行木馬源代碼在地下黑客論壇遭到了泄露。就在近期，阿里聚安全檢測(cè)到大量新型BankBot家族木馬，木馬偽裝成Go...
摘要：根據(jù)百度的說法，這是全球首次將深度學(xué)習(xí)領(lǐng)域技術(shù)應(yīng)用在客戶端，獨(dú)創(chuàng)了深度神經(jīng)網(wǎng)絡(luò)查殺技術(shù)。在過去，吳恩達(dá)說，百度用神經(jīng)網(wǎng)絡(luò)來幫助偵測(cè)廣告。 吳恩達(dá)拿起他的手機(jī)，打開了臉優(yōu) app。他現(xiàn)在正位于硅谷公司的研究室。在辦公桌邊吃飯，談話內(nèi)容很自然地也涉及到人工智能。他是百度的首席科學(xué)家，同時(shí)也是斯坦福大學(xué)計(jì)算機(jī)系的教授。在其他搜索引擎仍在發(fā)展時(shí)，他就曾幫助谷歌啟動(dòng)了腦計(jì)劃，現(xiàn)在他在百度從事相似的人工...
摘要：每天新增近個(gè)新移動(dòng)病毒樣本，每秒生成個(gè)阿里聚安全移動(dòng)病毒樣本庫(kù)年新增病毒樣本達(dá)個(gè)，平均每天新增個(gè)樣本，這相當(dāng)于每秒生成一個(gè)病毒樣本。阿里聚安全的人機(jī)識(shí)別系統(tǒng)，接口調(diào)用是億級(jí)別，而誤識(shí)別的數(shù)量只有個(gè)位數(shù)。 《阿里聚安全2016年報(bào)》發(fā)布，本報(bào)告重點(diǎn)聚焦在2016年阿里聚安全所關(guān)注的移動(dòng)安全及數(shù)據(jù)風(fēng)控上呈現(xiàn)出來的安全風(fēng)險(xiǎn)，在移動(dòng)安全方面重點(diǎn)分析了病毒、仿冒、漏洞三部分，幫助用戶了解業(yè)務(wù)安全...
閱讀 3271·2023-04-25 15:44
閱讀 1929·2019-08-30 13:11
閱讀 2923·2019-08-30 11:11
閱讀 3133·2019-08-29 17:21
閱讀 1360·2019-08-29 15:38
閱讀 1014·2019-08-29 12:49
閱讀 1850·2019-08-28 18:19
閱讀 3273·2019-08-26 14:01
