黑客伪造Google Play Store页面以挖掘加密货币

黑客正通过一种新的钓鱼方案针对受害者。根据SecureList的一篇帖子，黑客正在使用伪造的Google Play Store页面在巴西传播Android恶意软件活动。

该有害应用程序看似是合法下载，但一旦安装，它会将受感染的手机转化为加密货币挖矿机器。此外，它还用于安装银行恶意软件并授予威胁行为者远程访问权限。

黑客将巴西智能手机变成加密货币挖矿机器

活动始于一个与Google Play几乎相同的钓鱼网站。其中一个页面提供了一款名为INSS Reembolso的虚假应用程序，声称与巴西社会保障服务有关。其UX/UI设计复制了受信任的政府服务和Play Store布局，使下载看起来安全。

安装虚假应用程序后，恶意软件分多个阶段解包隐藏代码。它使用加密组件并将主要恶意代码直接加载到内存中。设备上没有可见文件，使用户难以检测任何可疑活动。

恶意软件还能逃避安全研究人员分析。它检查手机是否在模拟环境中运行。如果检测到，它便停止工作。

成功安装后，恶意软件继续下载更多恶意文件。它显示另一个仿Google Play风格的屏幕，然后显示虚假更新提示，并引导用户点击更新按钮。

这些文件之一是加密货币挖矿程序，它是为ARM设备编译的XMRig版本。恶意软件从攻击者控制的设施获取挖矿有效载荷。然后它解密并在手机上运行它。有效载荷将受感染设备连接到攻击者控制的挖矿服务器，在后台静默挖掘加密货币。

该恶意软件非常复杂，并非盲目挖掘加密货币。根据SecureList的分析，恶意软件监控电池电量百分比、温度、安装年龄以及手机是否正在被积极使用。挖矿的开始或停止基于监控的数据。目的是保持隐蔽并减少被检测到的任何可能性。

Android会杀死后台应用程序以节省电池，但恶意软件通过循环播放几乎无声的音频文件来逃避此操作。它伪造活跃使用状态以避免Android的自动停用。

为了继续发送命令，恶意软件使用Firebase Cloud Messaging，这是一个合法的Google服务。这使得攻击者可以轻松发送新指令并管理受感染设备上的活动。

银行木马瞄准USDT转账

该恶意软件所做的不仅仅是挖掘硬币。某些版本还安装了针对Binance和Trust Wallet的银行木马，特别是在USDT转账期间。它在真实应用程序上方覆盖虚假屏幕，然后悄悄将钱包地址替换为攻击者控制的地址。

银行模块还监控Chrome和Brave等浏览器，并支持广泛的远程命令。这些命令包括录制音频、捕获屏幕、发送短信、锁定设备、擦除数据以及记录击键。

其他最近的样本保持相同的虚假应用程序交付方法，但切换到不同的有效载荷。它们安装BTMOB RAT，这是一种在地下市场出售的远程访问工具。

BTMOB是恶意软件即服务（MaaS）生态系统的一部分。攻击者可以购买或租用它，这降低了黑客攻击和盗窃的门槛。该工具为攻击者提供更深入的访问权限，包括屏幕录制、摄像头访问、GPS跟踪和凭证窃取。

BTMOB正在网上积极推广。一名威胁行为者在YouTube上分享了该恶意软件的演示，展示了如何控制受感染设备。销售和售后支持通过Telegram账户处理。

SecureList表示，所有已知受害者都在巴西。一些较新的变体也通过WhatsApp和其他钓鱼页面传播。

像这样复杂的黑客活动提醒我们要验证一切，不要相信任何东西。