2020年Android平台恶意样本整体态势分析报告

声明

本文是学习2020年Android平台恶意样本整体态势分析报告. 下载地址 http://github5.com/view/55001而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们

Android平台恶意样本分析

2020年奇安信威胁情报中心累计截获Android平台新增恶意程序样本230万个，平均每天截获新增恶意程序样本6301个。2020年全年共有三个月爆发较大规模的新增恶意程序样本，分别是位于上半年的4月（34.6万个），下半年的10月（43.6万个）和11月（45.2万个），累计共占全年新增恶意程序样本的53.7%。其中在爆发最高峰的10月和11月，这两个月的恶意样本占比高达70%以上，是最低峰6月的4倍。2020年Android平台各月新增木马数量见下图。

2020年移动端恶意样本类型主要为恶意扣费(占全年移动端恶意样本的34.9%)，其次是资费消耗(占比24.2%)、流氓行为(占比22.8%)。可以看到，大半的移动恶意程序是直接冲着用户“钱包”来的，切实关系到用户直接的经济损失。

金融类Android木马攻击分析

国内外的Android应用安全环境存在很大的不同，世界各个不同地区的流行Android木马，其攻击目的、攻击方式、伪装方式也有很大的不同。研究和追踪全球木马流行趋势，对于我们做好国内的安全“免疫”工作，具有很重要的参考价值，也是威胁情报分析的核心工作之一。所以，在分析国内Android木马流行趋势之前，我们首先对国外的Android木马流行趋势做一个基础分析。

全球网银类木马流行趋势

2020年奇安信威胁情报中心累计截获Android平台新增网银盗号木马样本约20万个，其中TOP5的网银盗号木马家族样本多达近16万个。

在TOP5全球网银盗号木马家族中，最“耀眼”的当属Anubis和Ceberus，其除了仿冒数百款国外银行应用进行攻击外，还在疫情期间借助疫情诱惑、吸引受害者。2020奇安信威胁情报中心疫情期间分别对其展开了披露，提醒广大移动互联网用户谨防中招。

网银盗号木马常常伪装成其他应用程序诱骗用户下载安装。监测显示，Chrome(23.7%)、佐川急便(8.2%，日本流行的快递应用)、Flash Player(4.7%)是被伪冒量最多的应用。下图给出了被国外网银盗号木马仿冒最多的10类应用程序。TOP10排名见下图。

Chrome浏览器是国外用户手机上一款常用的APP，国外用户对该APP的信任程度较高，故攻击者们常将其作为仿冒的主要目标。另外，攻击者们也会出于某些目的将目标瞄准特定地区，如针对日本地区的佐川急便，针对土耳其地区的Sistem Güncelleştirmesi(系统更新)，针对韩国地区的KB저축은행(KB储蓄银行)，针对俄语地区的ВТБ Онлайн(VTB在线)、Одноклассники(Odnoklassniki)等。

分析显示，在国外，流行的网银盗号木马主要通过以下四种技术方式来实现盗取用户银行卡凭证信息。

1. 利用钓鱼页面

例如，Chrome浏览器具备绑定银行卡的功能，所以木马伪冒Chrome在启动的时候弹出银行卡绑定页面诱骗用户输入银行卡凭证。

1. 伪冒银行APP

仿冒合法网银APP软件的木马程序，会在用户登录时要求用户输入个人信息以及银行卡凭证进行窃取。

1. 弹出钓鱼页面覆盖银行APP

木马一经安装启动就会在桌面上消失，躲藏在后台默默运行，等待用户启动正常银行APP时弹出钓鱼页面覆盖银行APP的页面来诱骗用户输入银行卡凭证进行窃取。

1. 利用无障碍服务

木马启动后要求用户开启Android系统为残障人士提供的无障碍服务来监听用户使用银行APP情况，木马还会记录键盘输入信息来进行窃取银行卡凭证。

针对国内金融机构的仿冒木马

国内网络监管审查相比国外更加严格，移动互联网治理工作更有成效，拥有较好的大环境。研究发现，在国内，仿冒其他应用的网银类木马数量要比国外少得多。2020年，奇安信威胁情报中心共在国内监测伪冒正常应用的网银盗号木马近百个。其中主要以伪冒各大银APP、伪冒安全软件以及银行相关APP为主。具体分布见下图。

2020年10月份，我们捕捉到一个国内网银盗号木马新家族“BYL”，该家族会伪装成国内数家知名银行APP。该家族木马通过获取用户银行卡凭证、个人信息来盗窃用户财产。奇安信威胁情报中心大数据统计，该样本于2020年7月至10月中旬首次爆发，至少在国内31个省级行政区的用户手机上进行传播，感染总设备多至2000台左右，其中山东11.5%、上海6.9%、四川6.7%为全国感染量最多的三个省级地区。

2020年12月，该家族木马再度来袭。奇安信威胁情报中心大数据统计，截至2020年12月31日，全国12个省级行政区用户对BYL网银盗号木马家族搭建的钓鱼下载页面的访问数量达到万级，其中内蒙古(11.8%)、北京市(4.5%)、广东省(4.2%)是国内钓鱼下载页面访问量最多的三个地区。具体情况见下图。

延伸阅读

更多内容 可以点击下载 2020年Android平台恶意样本整体态势分析报告. http://github5.com/view/55001进一步学习

联系我们

T-CMHXXH 001—2022 崇明蟹种绿色生产技术规程.pdf