Loapi惡意程式多項功能集一身 長耗資源令電池過熱發脹

針對智能手機的惡意程式數量越來越多,Android 用戶在官方的 Google Play 也有機會下載到「有料」應用程式的情況下,在非官方渠道下載的風險更是不敢想像。近日卡巴斯基實驗室便展示了一款名為 Loapi 的手機木馬程式,不但綜合了多種惡意程式的功能,更由於持續高度消耗手機資源,電池有機會過熱而發脹,隨時做成物理破壞的危險。

傳播和感染
Loapi 系列的惡意程式通常透過廣告活動傳播,用戶會被引導到攻擊者預先設下的惡意網上資源,下載相關的檔案,卡巴斯基實驗室的研究人員找到超過20個網絡資源,其網域名稱都是「參考」知名的防毒方案甚至有名的色情網站,下方就是 Loapi 把自己隱藏在知名防毒方案或色情網站下的應用程式圖示。

當大意的用戶完成下載程式,應用程式便會嘗試取得裝置的管理員權限,一直向用戶提出要求直至對方答應為止。惡意程式也會檢查裝置有否「Root機」,不排除往後會追加更多相關的惡意程為。

當成功取得管理員權限之後,惡意應用程式可能會隱藏自己的圖示,又或者偽裝成各種防毒軟件的活動,因應用戶最初信以為真的偽裝應用程式類型而定。

自我保護
Loapi 積極地對抗任何企圖撤銷其管理員權限的「敵人」,如果用戶企圖取消它的權限,惡意程式便會鎖上螢光幕和關上裝置管理員設定視窗,再執行特定指令,恐嚇用戶會因此用去手機所有資料。此外,Loapi 另一種自我保護機制是能夠從黑客的 C&C 伺服器接收「危險」應用程式名單,並監視該名單上的「危險」應用程式的安裝和執行,一旦發現安裝或執行,木馬程式便會顯示假訊息,訛稱發現到惡意程式並要求用戶刪險,該訊息會不斷出現,所以即使用戶拒絕要求,該訊息會一直不斷出現,直至用戶屈服為止。

多種惡意功能於一身
從惡意程式的結構圖可以看到 Loapi 具備多個模組性的惡意功能,當中包括廣告、SMS 和 挖礦等常見惡意功能,以下是各個模組的簡介:

廣告模組的目標和功能:
此模組會在用戶的裝置上瘋狂地展示廣告,也可以暗地裡提高廣告排名,其功能包括:
–  展示影片廣告或橫幅
–  打開指定網址
–  在裝置上製作抓徑
–  顯示通知
–  在常用的社交網絡中開啟網頁,包括 Facebook、Instagram 和 VK
–  下載和安裝其他應用程式

SMS 模組的目標和功能:
本模組用於不同文字訊息的操作,每隔一段時間向 C&C 伺服器發出請求,以取得相關的設定和命令,其功能包括:
–  發送 inbox SMS 短訊到黑客的伺服器
–  回覆收到的訊息 (從 C&C 伺服器中接收)
–  對指定號碼傳送指定的文字 (所有資料來自 C&C 伺服器)
–  根據特定指令刪除收件箱和寄件箱內的 SMS 訊息 (指令由 C&C 伺服器發出)
–  執行要求到指定網指和執行指定 Javascript

網絡爬蟲模組的目標和功能:
此模組用來隱藏從網頁中執行 Javascript 以登記收費服務,有時候服務供應商會向用戶發送短訊要求確定,這時候惡意程式便會利用 SMS 模組的功能自動發送回覆,同時也具備網絡爬蟲功能,篡改網絡索引,此模組也會聯同廣告模組一同運作,在測試的 24 小時中嘗試打開接近 28,000 條單獨網址。

代理伺服器模組的目標和功能:
這個代理模組執行 HTTP 代理伺服器讓黑客能夠發送 HTTP 命令到受害者的裝置,此功能可以用來對指定目標發動 DDoS 攻擊,也可以轉換裝置接駁互聯網的方法,例如由流動網絡轉到Wifi。

挖礦 Monero 模組的目標和功能:
此模組使用了 Android 版本的挖礦程式,收集虛擬課幣 Monero (XMR)。

惡意行為引致電池過熱
卡巴斯基實驗室的研究人員對 Loapi 進行分析的時候發生一段小插曲,該裝置因為持續執行「挖礦」工作和對外傳輸,在兩日內導致電池過熱而發脹,為受害者增加多一重風險。

Loapi 的製作者把接近所有攻擊都集於一身,利用木馬程式令用戶登記付費服務,發送 SMS 短訊到任何號碼,產生流量和顯示廣告賺錢,再利用運算能力挖礦賺虛擬課幣,也可透過用戶的裝置在互聯網上進行不同的行為,唯一暫時未出現的就是間諜功能,不過由於惡意程式具備木馬功能,意味著往後可以隨時隨地追加到裝置之內。

資料來源:Securelist

 

 

Comments are closed