新特洛伊木马活动攻击数百个加密货币钱包和银行应用

网络安全研究人员发现了四个活跃的Android恶意软件家族，它们针对+800个应用，包括加密货币钱包和银行应用。这些恶意软件使用大多数传统安全工具无法检测到的方法。

Zimperium的zLabs团队发布了追踪被称为RecruitRat、SaferRat、Astrinox和Massiv的特洛伊木马的结果。

根据该公司的研究，每个家族都有自己的命令和控制网络，用于窃取登录信息、接管金融交易以及从受感染设备中获取用户数据。

加密货币和银行应用面临来自多种恶意软件的新威胁

这些恶意软件家族对任何在Android上管理加密货币的人构成直接威胁。

一旦安装，特洛伊木马可以在真实的加密货币和银行应用之上放置虚假登录屏幕，实时窃取密码和其他私人信息。然后，恶意软件在真实应用界面之上放置一个虚假的HTML页面，形成该公司所称的“极具说服力的欺骗性伪装”。

Zimperium的安全研究人员写道：“利用辅助功能服务监控前台，恶意软件检测到受害者启动金融应用的精确时刻。”

根据报告，特洛伊木马不仅能窃取凭证，还能捕获一次性密码、向攻击者流式传输设备屏幕、隐藏自己的应用图标，并阻止用户卸载它们。

每个活动都使用不同的诱饵来让人上当。

SaferRat通过承诺免费访问高级流媒体服务的虚假网站传播自身。RecruitRat将有效载荷隐藏在求职过程中，将目标发送到要求他们下载恶意APK文件的钓鱼网站。

Astrinox使用了类似的基于招聘的方法，使用域名xhire[.]cc。根据访问该网站所使用的设备，它显示不同的内容。

Android用户被要求下载APK文件，而iOS用户则看到了一个看起来像苹果应用商店的页面。然而，安全研究人员没有找到iOS被实际黑客攻击的证据。

在研究周期内，无法确认Massiv是如何分发的。

所有四种特洛伊木马都利用钓鱼基础设施、短信诈骗和利用人们需要迅速行动或好奇心进行社会工程的手段，诱使他们侧载有害应用。

加密货币恶意软件逃避检测

这些活动旨在绕过安全工具。

研究人员发现，这些恶意软件家族使用先进的反分析技术和对Android应用程序包（APK）的结构篡改，以保持该公司所称的“针对传统基于签名的安全机制的近零检测率”。

网络通信也与常规流量混合在一起。特洛伊木马使用HTTPS和WebSocket连接与命令服务器通信。某些版本在这些连接之上添加了额外的加密层。

另一个重要因素是持久性。现代Android银行特洛伊木马不再使用简单的单阶段感染。相反，它们使用多阶段安装过程，旨在绕过Android不断变化的权限模型，这使得应用在没有用户明确许可的情况下更难执行操作。

该报告没有确定+800个目标应用中的特定加密货币钱包或交易所。但由于覆盖攻击、密码拦截和屏幕流媒体，如果用户从Google Play商店之外安装恶意APK，任何基于Android的加密货币应用都可能面临风险。

从短信、招聘广告或促销网站中的链接下载应用，仍然是移动恶意软件进入智能手机的可靠途径之一。

在Android设备上管理加密货币的人应仅使用官方应用商店，并对要求他们下载内容的弹出消息保持警惕。