ARTICLE · 1196647
新型安卓木马病毒会篡改银行应用程序,窃取用户凭证
新型安卓木马病毒会篡改银行应用程序,窃取用户凭证来源：葡萄牙SAPO 
移动安全公司 ThreatFabric 的研究人员发现了 Hirudo，这是一款针对安卓系统的银行木马。它并非简单地在银行应用程序上显示虚假界面，而是会用篡改过的副本替换原有界面。据该公司称，这些修改后的版本旨在绕过应用程序内部的安全检查。 ThreatFabric 共识别出八款针对印尼银行应用程序的替代恶意软件，该恶意软件还会试图窃取印尼、中国、印度、墨西哥、摩洛哥和泰国用户的凭证。感染始于购物、成人视频和娱乐应用程序，例如 Shopora、1V1 X、KoiShort 和 ZoyaTV，这些应用程序会显示真实内容以伪装成合法应用。 在确认木马程序已安装后，投放器会弹出虚假的更新请求，将 Hirudo 作为辅助应用程序安装，并要求用户授予其访问权限和通知权限。受害者会通过社交媒体上的广告被引导至虚假的Google Play页面。该公司指出，在安装之前，该恶意软件会创建一个不具备网络连接的VPN连接，以绕过Google Play Protect等云端检查，但离线保护功能仍然有效。 更换银行应用程序 最不寻常的是接下来发生的事情。每当 Hirudo 检测到目标银行应用程序时，它都会验证签名证书，显示虚假更新，打开原应用程序的卸载程序，同时下载篡改后的副本。这个副本包含一个“钩子”引擎，当应用程序请求证书时，它会返回真实的证书，隐藏已启用的辅助功能服务，移除屏幕截图保护，并将 Google 的完整性验证请求（Play 完整性）重定向到攻击者的服务器。 据 ThreatFabric 称，该恶意软件使用的认证密钥已公开披露，并且至少有两个证书出现在谷歌的已泄露证书列表中，这使得服务器端伪造证书的检测成为可能。利用这些漏洞，该恶意软件可以窃取凭据和 PIN 码、短信、屏幕截图和摄像头图像，以及远程控制手机。 据ThreatFabric的Edward Driehuis称，该攻击行动结合了凭证窃取、设备控制、屏幕和摄像头截取以及短信窃取等技术，并拥有“相当成熟”的基础设施。服务器甚至存储了用户的财务信息，包括月收入和风险等级。为了避免此类情况的发生，建议显而易见，“一如既往”：坚持用户仅从Google Play安装应用，并对社交媒体上的广告保持警惕，正如多方消息来源所指出的那样。 《葡中商报》投稿、新闻线索、合作、活动、广告：
该木马程序由 ThreatFabric 发现，它会通过虚假更新欺骗用户，移除原应用程序，并安装一个修改后的版本，该版本会禁用银行的安全防护措施。目前，其攻击目标是印度尼西亚的银行应用程序。
葡萄牙金海国际投资有限公司联系电话：965654888
邮件联系方式：1683402443@qq.com
jinhaipt@gmail.com
