資訊專欄INFORMATION COLUMN
摘要：經(jīng)錢盾反詐實驗室研究發(fā)現(xiàn)，該批惡意應(yīng)用屬于新型?？尚艖?yīng)用商店繞過殺毒引擎，這樣病毒自然能輕松入侵用戶手機。安全建議建議用戶安裝錢盾等手機安全軟件，定期進(jìn)行病毒掃描。
背景
近期，一批偽裝成flashlight、vides和game的應(yīng)用，發(fā)布在google play官方應(yīng)用商店。經(jīng)錢盾反詐實驗室研究發(fā)現(xiàn)，該批惡意應(yīng)用屬于新型BankBot。Bankbot家族算得上是銀行劫持類病毒鼻祖，在今年年初曾爆發(fā)，之前主要針對歐洲國家，可劫持50多家銀行應(yīng)用，而新發(fā)酵的BankBot已將攻擊目標(biāo)擴散到全球，可劫持銀行增加到145家。
那么新型BankBot是怎么再次入侵用戶手機？
能上架應(yīng)用商店和入侵用戶手機，BankBot使用了AVPass技術(shù)，包括針對靜態(tài)分析和動態(tài)沙盒的逃逸，這樣成功繞過大多數(shù)殺毒引擎。可信應(yīng)用商店＋繞過殺毒引擎，這樣病毒自然能輕松入侵用戶手機。本文接下來的內(nèi)容將解析BankBot是如何規(guī)避殺毒引擎，病毒劫持釣魚過程可參考《警惕一大波銀行類木馬正在靠近，新型BankBot木馬解析》。
AVPass分析
1、使用成熟的AVPass技術(shù)，可繞過反病毒檢測系統(tǒng)
病毒AvPass工作流程圖如下：
Binary Obfuscation
混淆自身特征，包括類名、函數(shù)名、字符串加密、反射調(diào)用，并將待劫持應(yīng)用包名sha1編碼，隨后使用加固技術(shù)，將惡意dex打包加密。處理后的app如下圖：
2、對抗動態(tài)沙盒
通過自檢測運行環(huán)境和增加用戶行為交互對抗沙盒，新型BankBot只有同時滿足以下4條才會觸發(fā)惡意行為：
運行在Android5.0以及以上設(shè)備
運行設(shè)備非俄羅斯、巴西、烏克蘭用戶
檢測運行環(huán)境，若非真機環(huán)境將不會觸發(fā)惡意行為
用戶行為交互，點擊按鈕
下圖運行設(shè)備檢測
3、FCM遠(yuǎn)控，獲取短信驗證碼
目前，各大銀行實施雙因素認(rèn)證即在支付過程中進(jìn)行身份認(rèn)證和基于手機動態(tài)密碼的驗證。BankBot在通過釣魚拿到用戶銀行身份信息后，還差動態(tài)短信，之前BankBot直接使用短信劫持，但這樣殺軟可通過靜態(tài)或動態(tài)檢測出惡意行為。新型BankBot通過集成谷歌提供的Firebase Cloud Messaging(簡稱FCM)框架，利用FCM向指定設(shè)備發(fā)送指令數(shù)據(jù)，從而獲取受害者短信驗證碼，也就是控制端在成功釣魚后，通過FCM下發(fā)獲取短信的指令，病毒讀取最新短信，通過網(wǎng)絡(luò)上傳至控制端。下圖整個攻擊流程。
FCM下發(fā)的指令數(shù)據(jù)還包括：更新C&C地址、彈偽造的通知欄、界面劫持?jǐn)?shù)據(jù)，其中彈偽造的通知欄和界面劫持都是BankBot的釣魚手段。下圖下發(fā)的指令數(shù)據(jù)。
攻擊者一旦成功截獲受害者銀行賬號、密碼和短信動態(tài)驗證碼，將繞過銀行雙因素認(rèn)證，這樣受害者們不僅僅構(gòu)造成了一個可以被攻擊者控制的移動僵尸網(wǎng)絡(luò)，更成了攻擊者的天然提款機。
安全建議
1、建議用戶安裝錢盾等手機安全軟件，定期進(jìn)行病毒掃描。
2、切勿點擊任何陌生鏈接，尤其是短信、QQ、微信等聊天工具中不熟識的“朋友”發(fā)來的鏈接。
作者：錢盾反詐實驗室，更多安全類熱點信息和知識分享，請關(guān)注阿里聚安全的官方博客
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/11266.html
摘要：月同時，約有百萬用戶在谷歌應(yīng)用商店里感染了惡意軟件，它隱藏在超過多個流行的游戲中，例如。近日安全研究者發(fā)現(xiàn)在第三方應(yīng)用市場和谷歌應(yīng)用商店存在上千款惡意偽裝軟件。是如何工作的首先上傳至谷歌應(yīng)用市場，偽裝成名為的通信工具。 如果你認(rèn)為在官方應(yīng)用市場里下載app就覺得安全的話，小編可以負(fù)責(zé)任的回答你：too young too simple,sometimes native 今年4月，Ban...
摘要：就在近期，阿里聚安全檢測到大量新型家族木馬，木馬偽裝成等應(yīng)用，可劫持全球至少家大型銀行手機用戶。如果不確定手機是否毒，可以安裝阿里錢盾等手機安全軟件，對手機上的應(yīng)用進(jìn)行檢測，防止高風(fēng)險惡意應(yīng)用的安裝。 背景 來自安全公司Dr.Web的研究人員說，最近一個未命名的Android銀行木馬源代碼在地下黑客論壇遭到了泄露。就在近期，阿里聚安全檢測到大量新型BankBot家族木馬，木馬偽裝成Go...
摘要：根據(jù)百度的說法，這是全球首次將深度學(xué)習(xí)領(lǐng)域技術(shù)應(yīng)用在客戶端，獨創(chuàng)了深度神經(jīng)網(wǎng)絡(luò)查殺技術(shù)。在過去，吳恩達(dá)說，百度用神經(jīng)網(wǎng)絡(luò)來幫助偵測廣告。 吳恩達(dá)拿起他的手機，打開了臉優(yōu) app。他現(xiàn)在正位于硅谷公司的研究室。在辦公桌邊吃飯，談話內(nèi)容很自然地也涉及到人工智能。他是百度的首席科學(xué)家，同時也是斯坦福大學(xué)計算機系的教授。在其他搜索引擎仍在發(fā)展時，他就曾幫助谷歌啟動了腦計劃，現(xiàn)在他在百度從事相似的人工...
摘要：每天新增近個新移動病毒樣本，每秒生成個阿里聚安全移動病毒樣本庫年新增病毒樣本達(dá)個，平均每天新增個樣本，這相當(dāng)于每秒生成一個病毒樣本。阿里聚安全的人機識別系統(tǒng)，接口調(diào)用是億級別，而誤識別的數(shù)量只有個位數(shù)。 《阿里聚安全2016年報》發(fā)布，本報告重點聚焦在2016年阿里聚安全所關(guān)注的移動安全及數(shù)據(jù)風(fēng)控上呈現(xiàn)出來的安全風(fēng)險，在移動安全方面重點分析了病毒、仿冒、漏洞三部分，幫助用戶了解業(yè)務(wù)安全...
閱讀 3119·2023-04-25 15:44
閱讀 1889·2019-08-30 13:11
閱讀 2850·2019-08-30 11:11
閱讀 3072·2019-08-29 17:21
閱讀 1318·2019-08-29 15:38
閱讀 965·2019-08-29 12:49
閱讀 1810·2019-08-28 18:19
閱讀 3235·2019-08-26 14:01
