Svpeng木馬程式盜取一切資料 流動理財面臨新挑戰

在 7 月初,研究人員發現到一款知名的手機銀行木馬程式 Svpeng 的改版,犯罪份子為木馬程式加入新功能,透過無障礙的服務,現在已經成為 keylogger,可以盜取一切輸入的資料。Svpeng 早在 2013 年出現,初期只攻擊 SMS 理財,利用釣魚網站入侵手機,盜取權限和鎖上裝置勒索金錢,2016 年曾經利用 Chrome 瀏覽器的漏洞,透過 AdSense 散播病毒,因為幕後的犯罪份子十分活躍,所以成為研究人員密切監視新版本的對象。

加大強限阻止移除
無障礙服務通常提供強化的界面方便殘障人士,或者暫時無法與裝置完全互動的用戶,Svpeng木馬則利用這種系統功能,使程式不但盜取從其他應用程式輸入的文字,同時也加強自己的權限,阻止用戶移除木馬應用程式。木馬程式活躍於俄羅斯、德國和土耳其地區,但是程式不會在使用俄文的裝置上運作,此舉是俄羅斯網絡犯罪份子為避免在當地被偵查和拘捕的一貫做法。

Svpeng攻擊流程
當觸發木馬程式之後,首先會檢查裝置的語言,如果不是俄語,便會開始向裝置要求使用無障礙服務,因為只要取得此權限,它便能夠進行多種有害的活動,不但使自己具有管理員權限、使自己覆蓋其他應用程式、安裝其成為預設的 SMS 應用程式,以及取得一些動態權限,例如收發 SMS 、打電話和讀取聯絡人資料。此外,透過取得新權限 Svpeng 能夠阻止用戶移除它的管理員權限,藉此防止自己被移除。

使用無障礙服務令木馬程式能夠存取其他應用程式的界面,然後盜取他們的資料,例如界面內所有元素的名字和內容,這包括用戶輸入的所有文字,更甚者,每當用戶在鍵盤上按鍵,木馬程式都會撮取畫面一次,然後上存至背後的 C&C 伺服器,而且不限於 Android 標準的鍵盤,還包括第三方的鍵盤。即使部份銀行應用程式在啟動時不能撮取畫面,但是木馬程式則採用另一種方法,利用假的釣魚視窗覆蓋該應用程式,原來如果知道哪個應用程式在最上層,需要使用無障礙服務。

研究人員從黑客的 C&C 伺服器中攔截了加密的設定檔,經過解密之後找到受攻擊的應用程式和釣魚網站的網址,除了銀行應用程式之後,Svpeng 還會覆蓋部份 Google 應用程式以盜取信用卡資料。設定檔內含有專為 PayPal 和 eBay 應用程式而設的釣魚網址,用來盜取用戶的登入資料,另外還有專為不同國家的銀行應用程式而設的釣魚網址,以下是不同國家受攻擊的銀行應用程式數量:

英國:14、德國:10、土耳其:9、澳洲:9、法國:8、波蘭:7、新加坡:6

此外,還有另一個受攻擊的應用程式在設定檔內,它並非銀行應用程式,而是積分應用程式Speedy Rewards,Svpeng 會透過釣魚視窗盜取用戶的登入資料。在接收到 C&C 侵服器的指令後,它可以傳送 SMS 短訊、收集聯絡人和通話記錄、收集裝置內所有 SMS 短訊、打開網址和開始盜取收到的 SMS。

偽裝 Flash Player 誘騙安裝
Svpeng 透過惡意網站上偽裝成 Flash Player 誘騙用戶點擊然後下載,即使已經更新的 Android 裝置和安裝防毒軟件,仍能透過取得系統的無障礙服務權限而自由活動,再進一步取得其他權限及盜取更多資料。

Comments are closed