各家应用商店中的恶意软件总是层出不穷,哪怕是一向以“安全”著称的苹果,也不能完全杜绝 App Store 中恶意软件的乱入。但在这之中,作为“围墙花园”的苹果自认还是高人一等的:
-
苹果曾援引诺基亚 2019 年、2020 年的威胁情况报告称,Android 平台恶意软件的数量是 iPhone 的 15~47 倍。
-
库克在 11 月初也就此表示:“如果你想侧载 App,你可以买一部 Android 手机。”
巧的是,仿佛是为了印证了库克的说法,近日,据网络安全公司 ThreatFabric 研究人员发现,Google Play 中存在一批“表面正经”实际暗藏 Android 银行木马的恶意软件,总下载量超过 30 万次。
一、“伪善”的外表
根据木马类型,ThreatFabric 将这批恶意软件分为 4 类:Anatsa、Alien、Hydra 和 Ermac。
- Anatsa
在这之中,Anatsa 的下载量最高——超过 20 万名 Android 用户曾安装隐藏 Anatsa 木马的 App。ThreatFabric 将 Anatsa 称之为“一种相当先进的 Android 银行木马”,具有 RAT 和半 ATS 功能:可窃取用户名和密码、使用可访问性日志记录来捕获用户屏幕上显示的所有内容、利用键盘记录器记录输入到手机中的所有信息。
经 ThreatFabric 分析,共有 6 款恶意软件在分发 Anatsa 木马。为了欺骗用户下载,它们分别伪装成二维码扫描仪、PDF 扫描仪和加密货币 App,其中光一个二维码扫描仪下载量就高达 5 万次,甚至为了引诱人们下载,攻击者还雇人刷好评,该 App 下载页面上多为正面评价 。
- Alien
下载量第二多的是 Alien 木马,这同样也是一款 Android 银行木马,可窃取双因素身份验证功能,暗藏这款木马的 App 下载量超 9.5 万次。
其中,名为“Gymdrop”的健身 App 就是一个成功的载体。这款 App 的设计初看十分正常,很难察觉其恶意软件的身份。但仔细研究后便可发现,它只是一个健身房网站的模板,上面没有任何有用的信息,甚至在页面中还包含“Lorem Ipsum”的占位符文本。
- Hydra 和 Ermac
关于 Hydra 和 Ermac 这两款木马,ThreatFabric 认为其与 Brunhilda 有关(Brunhilda 是一个网络犯罪组织,以使用银行恶意软件攻击 Android 设备而闻名),Hydra 和 Ermac 主要是为攻击者提供窃取银行信息所需的设备的访问权限。
以下为 ThreatFabric 发现暗藏以上四类 Android 银行木马的 12 款恶意软件:
二、学会了“见机行事”
如开头所说,每个应用商店都有其自己的应用审核流程,Google Play 自然也不例外,但为什么这些恶意软件能够“瞒天过海”,在短短 4 个月的时间内就肆意传播超过 30 万次?原因在于:攻击者在努力减少检测过程中 App 包含的恶意加载程序。
上文中不论是二维码扫描仪 QR Code Scanner,还是健身 App GymDrop,在最初下载的时候是不包含木马病毒的,并且为了避免用户产生怀疑,通常都具备应有的功能。但在取得用户信任后,这类 App 便会指示他们下载附加功能的更新包(通常从第三方来源下载更新),也正是这个更新包“内有乾坤”——会连接到命令和控制服务器并将木马的有效载荷下载到设备上,为攻击者提供窃取银行详细信息和其他信息的手段。
也就是说,这类恶意软件的“恶意”是隐藏的,并没有包含在测试环境中,只有在安装应用后才会开始传送恶意部分,这极大增加了 Google Play 利用自动化和机器学习技术检测这类 App 的难度,也因此它们才能躲过审查成功混入 Google Play。
不仅如此,这些攻击者还学会了“见机行事”:尽管恶意软件的下载量超过 30 万次,但并非所有用户都会“中招”。为了让植入 App 中的木马更难被发现,攻击者只会手动激活在受感染设备上安装的木马,通过位置检查确保受害者仅存在于某些特定地区,使得应用商店的自动检测更难以察觉其中的“阴谋”。
三、除了被动删除,谷歌别无他法
据了解,ThreatFabric 方面已经向谷歌报告了以上所有恶意软件,结果应该与之前的类似情况一样:谷歌会迅速下架所有相关 App,这大概也是谷歌唯一能做的了——网络攻击者传播恶意软件的方式愈发层出不穷,而目前谷歌还没能找到一个有效的办法来杜绝这类 App 混入 Google Play,只能发现一个删一个。
虽然应用商店方面暂且还无法确保其中所有 App 的安全性,但 ThreatFabric 的移动恶意软件专家 Dario Durando 建议,用户可以采取一些措施以避免木马的侵入:“在授予可访问服务权限之前,记得检查应用更新,同时也要警惕要求安装其他软件的 App。”
对于这件事,网友的目光聚焦在了“侧载”上:
“虽然这样说不好,但事实就是:侧载应用是启用这些木马程序的原因。”
“我是 iOS 用户,幸亏 Apple 对应用商店进行了严格监管,所以我强烈不希望这种情况发生改变。”
参考链接:
- https://www.threatfabric.com/blogs/deceive-the-heavens-to-cross-the-sea.html#tactics-used-by-threat-actors
- https://arstechnica.com/information-technology/2021/11/google-play-apps-downloaded-300000-times-stole-bank-credentials/