搜索

[8339] 2014-10-11_揭秘：短信拦截木马背后的黑色产业

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-10-11_揭秘：短信拦截木马背后的黑色产业 揭 秘 ： 短 信 拦 截 木 马 背 后 的 黑 色 产 业 g a n d a l f   F r e e B u f   2 0 1 4 - 1 0 - 1 1 0 × 0 1   概 述 概 述 从 从 2 0 1 3 年 年 5 月 至 今 ， 月 至 今 ， A V L 移 动 安 全 团 队 持 续 监 测 到 了 一 类 高 活 跃 高 危 害 的 短 信 拦 截 类 型 木 马 。 短 信 拦 截 马 ， 顾 名 思 义 移 动 安 全 团 队 持 续 监 测 到 了 一 类 高 活 跃 高 危 害 的 短 信 拦 截 类 型 木 马 。 短 信 拦 截 马 ， 顾 名 思 义 是 一 种 可 以 拦 截 他 人 短 信 木 马 ， 就 是 让 被 攻 击 者 收 不 到 短 信 ， 并 将 短 信 内 容 截 取 到 攻 击 者 手 机 上 。 是 一 种 可 以 拦 截 他 人 短 信 木 马 ， 就 是 让 被 攻 击 者 收 不 到 短 信 ， 并 将 短 信 内 容 截 取 到 攻 击 者 手 机 上 。 此 类 木 马 目 前 最 常 见 的 是 通 过 钓 鱼 、 诱 骗 、 欺 诈 等 方 式 诱 导 用 户 装 上 木 马 ， 然 后 通 过 拦 截 转 发 用 户 短 信 内 容 ， 以 此 获 取 各 种 用 户 重 要 的 个 人 隐 私 信 息 ， 如 用 户 姓 名 、 身 份 证 号 码 、 银 行 卡 账 户 、 支 付 密 码 及 各 种 登 录 账 号 和 密 码 等 ， 造 成 这 些 信 息 的 泄 露 ， 再 利 用 此 信 息 从 而 达 到 窃 取 用 户 资 金 的 目 的 ， 严 重 威 胁 用 户 的 财 产 安 全 。 另 外 ， 此 前 流 行 的 “ X X 神 器 ” 也 有 短 信 拦 截 转 发 的 功 能 。 0 × 0 2   数 据 统 计 数 据 统 计 短 信 拦 截 马 功 能 简 单 、 开 发 成 本 低 ， 但 更 新 变 化 速 度 快 ， 伪 装 目 标 不 断 更 换 ， 涉 及 样 本 量 比 较 庞 大 。 从 最 早 1 3 年 5 月 出 现 到 1 4 年 9 月 ， 共 截 获 该 类 木 马 将 近 2 万 个 。 1 、 活 跃 曲 线 、 活 跃 曲 线 从 1 3 年 5 月 起 ， A V L 移 动 安 全 中 心 每 月 都 能 监 控 到 该 类 木 马 ， 从 其 活 跃 曲 线 可 以 看 到 其 呈 现 不 断 增 长 的 趋 势 ：
图 1   拦 截 马 样 本 捕 获 情 况 2 、 行 为 分 布 、 行 为 分 布 短 信 拦 截 马 其 行 为 主 要 是 拦 截 并 转 发 短 信 来 窃 取 隐 私 ， 此 外 部 分 还 带 有 诱 骗 欺 诈 、 远 程 控 制 、 资 费 消 耗 、 恶 意 扣 费 等 。 从 下 图 拦 截 马 主 要 行 为 分 布 可 以 发 现 诱 骗 欺 诈 、 远 程 控 制 、 资 费 消 耗 都 占 有 不 小 的 比 例 ： 图 2   拦 截 马 主 要 行 为 分 布 3 、 样 本 包 名 、 样 本 包 名 T o p   2 0 下 图 为 样 本 包 名 T o p   2 0 ， 从 中 可 以 发 现 最 多 的 是 伪 装 成 A n d r o i d 系 统 应 用 名 ， 其 次 则 是 e x a m p l e 、 t e s t 等 测 试 名 称 ：
图 3   拦 截 马 伪 装 包 名 T o p   2 0 4 、 伪 装 应 用 、 伪 装 应 用 T o p   1 0 样 本 伪 装 应 用 T o p   1 0 ， 不 出 意 外 的 中 国 移 动 最 多 ， 下 图 中 其 实 还 有 移 动 客 户 端 、 1 0 0 8 6 、 移 动 掌 上 营 业 厅 、 掌 上 营 业 厅 、 移 动 营 业 厅 都 属 于 伪 装 的 移 动 应 用 ， 其 次 则 是 伪 装 的 淘 宝 ” 淘 分 享 ” ： 图 4   拦 截 马 伪 装 应 用 T o p   1 0 0 × 0 3   对 抗 情 况 对 抗 情 况
拦 截 马 家 族 发 展 迅 速 ， 持 续 的 演 变 过 程 中 便 不 得 不 与 安 全 软 件 查 杀 对 抗 ， 除 了 常 规 恶 意 代 码 手 段 ， 拦 截 马 家 族 更 喜 欢 采 用 加 壳 这 种 简 单 有 效 的 手 段 。 频 繁 更 换 修 改 加 壳 方 式 ， 高 频 率 持 续 更 新 以 保 证 绕 过 安 全 软 件 ， 拦 截 马 对 抗 颇 有 0 9 年 P C 上 的 免 杀 趋 势 。 下 图 为 拦 截 马 家 族 加 壳 样 本 捕 获 情 况 ， 从 图 中 可 见 从 拦 截 马 最 早 出 现 的 时 候 就 已 经 开 始 有 使 用 加 壳 技 术 了 ， 不 过 直 下 图 为 拦 截 马 家 族 加 壳 样 本 捕 获 情 况 ， 从 图 中 可 见 从 拦 截 马 最 早 出 现 的 时 候 就 已 经 开 始 有 使 用 加 壳 技 术 了 ， 不 过 直 到 到 2 0 1 4 年 年 6 月 才 开 始 持 续 增 长 ， 而 现 在 正 是 高 速 爆 发 时 期 月 才 开 始 持 续 增 长 ， 而 现 在 正 是 高 速 爆 发 时 期 : 图 5   拦 截 马 加 壳 样 本 捕 获 情 况 下 图 为 拦 截 马 加 壳 样 本 与 当 月 样 本 数 的 统 计 情 况 ， 拦 截 马 的 捕 获 数 量 依 然 在 持 续 增 长 ， 而 加 壳 样 本 比 例 亦 在 增 加 ： 图 6 拦 截 马 加 壳 样 本 统 计 对 拦 截 马 加 壳 样 本 所 采 用 的 加 壳 方 案 做 了 一 下 统 计 ， 其 中 大 部 分 都 在 使 用 a p k p r o t e c t 这 一 加 固 方 案 ， 而 其 他 方 案 则 少 许 多 ：
图 7   拦 截 马 加 壳 类 型 统 计 加 固 是 一 把 双 刃 剑 ， 保 护 开 发 者 A P P 的 同 时 也 成 为 木 马 作 者 的 一 把 ” 保 护 伞 ” ， 希 望 诸 多 加 固 公 司 能 在 加 固 应 用 前 多 做 恶 意 代 码 审 核 工 作 。 0 × 0 4   黑 产 揭 露 黑 产 揭 露 1 、 拦 截 马 黑 色 产 业 链 、 拦 截 马 黑 色 产 业 链 拦 截 马 的 爆 发 必 然 有 其 原 因 ， 根 据 A V L 团 队 研 究 人 员 多 方 采 证 以 及 卧 底 取 证 ， 最 终 还 原 了 其 完 整 的 黑 色 产 业 链 ： 图 8   拦 截 马 攻 击 模 型 从 伪 基 站 发 送 伪 造 钓 鱼 网 站 地 址 ， 再 到 用 户 访 问 钓 鱼 网 站 ， 欺 骗 用 户 输 入 个 人 信 息 ， 网 站 挂 马 诱 导 用 户 下 载 安 装 短 信 拦 截 木 马 ， 最 后 攻 击 者 在 线 转 账 时 通 过 拦 截 马 转 发 网 银 验 证 码 完 成 转 账 ， 这 就 是 一 个 简 单 的 拦 截 马 工 具 模 型 。
图 9   拦 截 马 黑 色 产 业 链 拦 截 马 黑 色 产 业 链 分 工 明 确 结 构 简 单 ， 主 要 由 以 下 四 部 分 组 成 ： 1 . 开 发 售 卖 ： 这 部 分 主 要 是 拦 截 马 木 马 的 开 发 以 及 免 杀 、 钓 鱼 网 站 的 开 发 出 售 、 伪 基 站 的 出 售 ； 2 . 木 马 分 发 ： 广 撒 网 才 能 多 收 鱼 ， 拦 截 马 分 发 手 段 主 要 有 钓 鱼 短 信 、 网 站 挂 马 、 二 维 码 传 播 ； 3 . 窃 取 售 卖 ： 拦 截 马 植 入 成 功 即 可 获 取 拦 截 短 信 ， 但 黑 产 关 注 的 信 息 主 要 在 于 各 大 银 行 、 支 付 宝 、 游 戏 点 卡 、 运 营 商 话 费 充 值 卡 、 Q 币 等 等 ， 这 些 信 息 都 是 可 以 直 接 交 易 ； 4 . 洗 钱 ： 洗 钱 也 是 技 术 活 ， 生 意 好 的 日 入 上 万 不 是 梦 ， 虽 然 洗 钱 是 获 利 最 多 的 ， 但 同 时 也 是 风 险 也 最 大 。 文 章 最 后 附 有 研 究 人 员 潜 伏 拦 截 马 交 易 群 所 收 集 到 的 部 分 相 关 聊 天 证 据 记 录 截 图 。 2 、 相 关 产 业 、 相 关 产 业 百 度 搜 索 拦 截 马 就 有 1 1 8 万 个 结 果 ， 其 中 有 产 业 链 揭 露 、 样 本 破 解 分 析 ， 但 更 多 则 是 交 易 信 息 ：
图 1 0   百 度 ” 短 信 拦 截 马 ” 百 万 以 上 词 条 一 、 木 马 开 发 一 、 木 马 开 发 下 图 为 猪 八 戒 网 的 开 发 需 求 ， 可 见 拦 截 马 开 发 及 免 杀 依 然 持 续 中 的 ； 不 过 拦 截 马 功 能 比 较 简 单 ， 开 发 成 本 较 低 ， 即 便 免 杀 也 通 常 使 用 已 有 加 固 方 案 ， 所 以 图 中 给 的 报 酬 都 比 较 低 ：
图 1 1   猪 八 戒 网 拦 截 马 开 发 需 求 二 、 伪 基 站 二 、 伪 基 站 伪 基 站 是 近 几 年 开 始 流 行 的 ， 黑 产 中 通 常 用 于 发 送 伪 造 短 信 诱 导 用 户 进 入 钓 鱼 网 站 ， 如 下 图 即 是 一 个 伪 造 的 工 行 短 信 ， 值 得 注 意 的 是 其 使 用 了 g o v . c n 域 名 下 的 子 页 ， 相 对 加 强 了 权 威 性 而 降 低 了 用 户 警 惕 ：
图 1 2   伪 基 站 钓 鱼 网 站 短 信 另 外 伪 基 站 还 有 如 下 诈 骗 的 使 用 方 式 ， 通 过 伪 造 短 信 来 恐 吓 用 户 来 进 行 诈 骗 行 为 ， 不 久 前 ” 小 龙 女 ” 李 若 彤 经 纪 人 造 电 信 诈 骗 百 万 以 上 ， 手 法 就 与 此 类 似 ： 图 1 3   伪 基 站 诈 骗 短 信
三 、 钓 鱼 网 站 三 、 钓 鱼 网 站 拦 截 马 样 本 中 最 爱 伪 装 中 国 移 动 ， 所 以 同 时 也 发 现 了 大 量 的 山 寨 中 国 移 动 钓 鱼 网 站 ， 此 类 网 站 通 常 以 积 分 兑 换 现 金 来 诱 骗 用 户 输 入 相 关 银 行 帐 号 信 息 ， 同 时 诱 导 用 户 下 载 安 装 短 信 拦 截 木 马 ： 图 1 4   山 寨 中 国 移 动 钓 鱼 网 站 下 图 即 是 一 个 山 寨 中 国 电 信 钓 鱼 网 站 ， 采 取 同 样 的 手 法 获 取 用 户 个 人 信 息 并 诱 导 安 装 短 信 拦 截 木 马 ， 该 木 马 还 会 欺 骗 用 户 不 要 卸 载 ： 图 1 5   山 寨 中 国 电 信 钓 鱼 网 站 图 1 6   木 马 欺 骗 用 户 不 要 卸 载 四 、 洗 钱 四 、 洗 钱
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理