- 一种名为Fantasy Hub的新型Android远程访问木马（RAT）正通过俄语Telegram频道以订阅服务形式向犯罪分子分发。
- 该服务按用户收费，周价格为200美元，月价格为500美元。
- 受高级间谍软件和银行特洛伊木马的推动，Android恶意软件交易同比增长67%。
网络安全研究人员宣布了一种名为 Fantasy Hub 的新 Android RAT，它作为订阅服务向犯罪分子分发。它在俄语 Telegram 频道上以 Malware-as-a-Service (MaaS) 模式出售。
据报道，它将任何应用变成间谍软件，假装是 Play Store 更新，劫持 SMS 以窃取 2FA，并通过 WebRTC 实时流式传输摄像头和麦克风。Malware-as-a-Service 模式允许它降低技术门槛，使攻击者只需最少专业知识即可使用。
间谍软件使黑客能够读取 2FA 消息，进入银行账户，并实时观看设备。
Fantasy Hub 教犯罪分子如何创建假的 Google Play Store
根据其卖家称，该恶意软件允许设备控制和间谍活动。这使威胁行为者能够访问短信消息、联系人、通话记录、图像和视频，以及拦截、回复和删除传入警报的能力。
该恶意软件利用默认 SMS 权限，类似于 ClayRAT，以访问短信消息、联系人、摄像头和文件。通过提示用户将其设置为默认 SMS 处理应用，恶意程序可以一次性获得多个强大权限，而不是在运行时请求单个权限。
作为该电子犯罪解决方案客户的犯罪分子收到与创建假的 Google Play Store 着陆页以进行分发相关的说明，以及绕过限制的步骤。潜在买家可以选择图标、名称和页面，以获得看起来精美的页面。
该机器人处理付费订阅和构建者访问。它的设计还允许威胁行为者上传任何 APK 文件到服务，并接收包含内置恶意软件的特洛伊版本。该服务按用户每周 200 美元或每月 500 美元的价格提供。用户也可以选择每年 4,500 美元的订阅。
与该恶意软件关联的命令和控制 (C2) 面板提供了有关被入侵设备的详细信息，以及有关订阅状态本身的信息。该面板还允许攻击者发出命令以收集各种类型的数据。
Fantasy Hub 针对移动银行用户
发现投放应用充当 Google Play 更新，赋予其合法性外观，并诱骗用户授予必要的权限。然后它使用虚假覆盖层来获取与俄罗斯金融机构（如 Alfa、PSB、T-Bank 和 Sberbank）相关的银行凭证。
Fantasy Hub 集成原生投放应用、基于 WebRTC 的实时流媒体，并利用 SMS 处理程序角色来窃取数据并在实时中冒充合法应用。
根据 Zimperium 研究员 Vishnu Pratapagiri 的说法，该间谍软件对企业客户使用 BYOD 构成直接威胁。此外，依赖移动银行或敏感移动应用的组织也面临麻烦。
此前，Zscaler ThreatLabz 揭露威胁行为者正在使用复杂的银行特洛伊木马，如 Anatsa、ERMAC 和 TrickMo。它们通常在官方和第三方应用商店中 resemble 真正的实用程序或生产力应用。
一旦安装，它们采用非常狡猾的方法来获取用户名、密码甚至完成交易所需的双因素身份验证 (2FA) 代码。
此外，CERT Polska 警告称出现新的 Android 恶意软件案例，称为 NGate，它试图通过近场通信 (NFC) 中继攻击窃取波兰银行用户的卡片信息。
当受害者打开相关应用时，他们被要求通过在 Android 设备背面轻触来证明其支付卡。然后该应用悄悄收集卡的 NFC 数据并将其发送给攻击者控制的服务器或直接发送给威胁行为者安装的配套应用，后者希望从 ATM 获取现金。
据报道，使用 Android 恶意软件的交易每年增加 67%。它们由先进的间谍软件和银行特洛伊木马驱动。Google Play 商店上已报告约 239 个恶意应用。在 2024 年 6 月至 2025 年 5 月期间，这些应用总共被下载了 4200 万次。
不要只是阅读加密货币新闻，要真正理解它。订阅我们的通讯。 免费。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Florence Muchai
Florence 过去 6 年一直报道加密货币、游戏、科技和人工智能新闻。她在梅鲁科技大学修读计算机研究，并在马林加莫伊科学与技术大学学习灾害管理与国际外交，这些经历充分赋予她语言、观察和技术技能。Florence 曾在 VAP Group 工作，并担任多家加密货币媒体的编辑。
