雙十一臨近，如果收到家人發(fā)來讓你代買東西的短信是不是毫不猶豫地就打開支付寶付錢了呢?近日，360手機(jī)安全中心截獲一個(gè)利用(Activity)安卓系統(tǒng)組件的“套牌木馬”家族，能夠修改中招手機(jī)中“爸”“媽”“哥”“姐”等家人的手機(jī)號(hào)碼，更為危險(xiǎn)的是，這一家族的木馬還會(huì)使用Activity劫持方法將正版支付寶付款界面替換為釣魚頁(yè)面，竊取支付寶賬號(hào)和密碼。目前，360手機(jī)衛(wèi)士已經(jīng)可以對(duì)“套牌木馬”家族進(jìn)行查殺。
圖一：360手機(jī)衛(wèi)士查殺“套牌木馬”家族
360手機(jī)安全專家分析指出，“套牌木馬”家族會(huì)通過惡意主包和子包相互配合共同作惡。手機(jī)用戶安裝偽裝成“一鍵清理”的惡意程序后，主包會(huì)釋放子包，誘導(dǎo)手機(jī)用戶點(diǎn)擊安裝偽裝成系統(tǒng)應(yīng)用“Google Service”的惡意子包，子包安裝成功后，木馬又會(huì)誘導(dǎo)手機(jī)用戶卸載主包，并激活設(shè)備管理器，使手機(jī)用戶無法正常卸載惡意子包，同時(shí)向木馬制作者發(fā)送短信通知木馬安裝成功。
“套牌木馬”會(huì)在中招手機(jī)中執(zhí)行三類惡意行為，一是劫持支付寶騙取手機(jī)用戶的支付賬號(hào)和密碼，二是修改手機(jī)中以“爸”“媽”“哥”“姐”等類似家人昵稱存儲(chǔ)的聯(lián)系人號(hào)碼，三是竊取手機(jī)中全部短信、通話記錄以及聯(lián)系人等隱私信息。
替換正版支付寶登錄界面
木馬會(huì)判斷中招手機(jī)當(dāng)前運(yùn)行的是不是支付寶登錄頁(yè)面，如果是，木馬會(huì)直掉關(guān)閉掉正版支付寶應(yīng)用，將手機(jī)頁(yè)面替換為偽造的“支付寶登錄”頁(yè)面，手機(jī)用戶輸入“賬戶”和“登錄密碼”后，木馬通過發(fā)送短信的方式將這些信息發(fā)送出去。目前，只有360手機(jī)衛(wèi)士可以獨(dú)家查殺采用這種方式劫持手機(jī)界面作惡的手機(jī)木馬。
圖二：“套牌木馬”家族將竊取的支付寶賬號(hào)密碼通過短信發(fā)送
修改中招手機(jī)中家人手機(jī)號(hào)碼
除此之外，“套牌木馬”還會(huì)接收木馬制作者的短信指令，執(zhí)行多種惡意行為。如轉(zhuǎn)發(fā)中招手機(jī)中的所有短信、聯(lián)系人、通話記錄等，甚至還會(huì)刪除指定號(hào)碼的短信、修改以“爸”“媽”“哥”“姐”等類似家人昵稱存儲(chǔ)的聯(lián)系人號(hào)碼。360手機(jī)安全專家介紹，“套牌木馬”專門針對(duì)手機(jī)中的聯(lián)系人、短信作惡，極有可能通過掌握到的信息進(jìn)行社會(huì)工程學(xué)電信詐騙，獲取到中招手機(jī)用戶家人的號(hào)碼后，詐騙成功率會(huì)更高。
圖三：“套牌木馬”接收短信指令執(zhí)行惡意行為
360手機(jī)安全專家提醒，木馬制作者極有可能進(jìn)一步對(duì)竊取到的短信內(nèi)容進(jìn)行過濾，獲取支付寶驗(yàn)證碼信息，與竊取到的支付寶賬號(hào)密碼相結(jié)合盜取中招手機(jī)用戶的財(cái)產(chǎn)。雙十一即將來臨，各家電商都借機(jī)進(jìn)行促銷活動(dòng)，手機(jī)用戶要警惕“套牌木馬”家族劫持支付寶造成資金損失，及時(shí)通過360手機(jī)衛(wèi)士查殺“套牌木馬”。
支付寶官方下載地址：http://mobile.alipay.com/index.htm
360手機(jī)衛(wèi)士下載地址：http://shouji.#/
詳細(xì)分析地址：http://blogs.#/360mobile/2014/10/23/activity_hijack_of_zfb/
