卡巴斯基发现伪装成星链应用的新型安卓恶意软件活动

卡巴斯基全球研究与分析团队（GReAT）发现了一起新的安卓恶意软件攻击活动。网络犯罪分子伪装成安卓版星链应用，分发BeatBanker木马。攻击者主要针对巴西用户。不过，卡巴斯基专家不排除其他国家的用户也可能面临这一威胁。该木马使用了一个门罗币加密货币挖矿程序，并在受感染的设备上额外安装了一个BTMOB远程管理工具（RAT）。为了保持其持久性，BeatBanker使用了一种不常见的机制，涉及一个几乎听不见的循环音频文件。

卡巴斯基专家认为，网络犯罪分子通过模仿Google Play商店的网络钓鱼页面，传播含有BeatBanker木马的虚假星链应用程序。该木马在受感染设备上运行后，会显示一个同样模仿Google Play的用户界面。网络犯罪分子诱骗受害者授予安装权限，从而允许下载其他隐藏的恶意有效载荷。

当用户在伪造的 Google Play 页面上点击“更新”按钮时，一个门罗币（Monero）挖矿程序便会被部署。BeatBanker能够监测受感染智能手机的电池百分比和温度，并根据用户活动情况启动或停止隐蔽运行的加密货币挖矿程序。

该安卓木马还会在受感染设备上安装BTMOB远程控制木马（RAT）。BTMOB以恶意软件即服务的形式出售，可实现对设备的完全远程控制。该恶意软件能够自动获取权限、隐藏系统通知，并具备窃取屏幕锁凭证（包括被入侵设备上的PIN码、图案锁和密码）的机制。该恶意软件还允许网络犯罪分子访问前后摄像头、监控GPS位置，并持续收集敏感数据。

为了确保程序的持久性并阻止卸载，BeatBanker 会在前台保持一个固定通知，并启动一个带有静音媒体播放功能的前台服务。此策略旨在防止操作系统移除该恶意进程。

更多详细信息，请参阅Securelist上的博文。