新金融木马Octo可自远程控制Android设备

荷兰移动安全企业ThreatFabric上周披露了一个新的金融木马程序Octo,指出它具备远程控制Android设备的能力,可取得受害设备屏幕所呈现的所有内容,而且已被至少5个黑客组织所使用。

ThreatFabric认为Octo应该是Exobot金融木马家族的后代,版本别为ExobotCompact.D,最早出现在去年11月,为了消除买家对Exobot源码已外泄的疑虑,作者将在今年1月将ExobotCompact.D更名为Octo,并通过黑客论坛租赁。

与先前的版本相较,Octo具备了远程访问能力,它利用Android平台的MediaProjection功能来进行屏幕流媒体,再借由另一个AccessibilityService功能自远程执行任务,前者每秒可发送一次受害设备上的屏幕截屏,使得黑客得以密切观察受害设备的状态,意味着黑客得以控制设备上的密码管理程序、加密货币钱包程序、银行程序、双因素认证程序及游戏登录等,很容易便能执行设备诈骗。

Octo利用Google Play或是网络钓鱼短信进入受害者手机,它被嵌在许多应用程序中,或是发送假冒为Chrome、金融程序或通讯程序的更新连接;一旦成功进驻受害设备,它就能拦截短信或通知,取得设备上的通讯录,还能记录通话;Octo也具备覆盖攻击(Overlay Attack)与键盘监听能力,可控制具输入字段的程序,取得出现在屏幕上的一次性密码;还能躲避杀毒软件的侦测,并避免遭用户移除。

研究人员发现,包括Octo作者在内,至少已有5个黑客组织使用Octo僵尸网络展开攻击,其中一个组织打造了附带Octo的Fast Cleaner程序,并登上了Google Play,有超过5万个Android设备安装了该程序,它锁定西班牙、比利时、葡萄牙与意大利的金融机构客户展开攻击。

图片来源/ThreatFabric

成功登上Google Play的Octo恶意程序并不多,根据ThreatFabric的观察,这些黑客在租赁Octo服务之后,大多利用网络钓鱼短信引诱用户至第三方网站下载恶意程序,这些恶意程序可能伪装成Google Play、Chrome、各种金融程序或各种通讯程序的更新。

总之,虽然恶意程序也可能会成功溜进Google Play,但比例毕竟不高,Android用户必须特别留意那些来自短信的更新连接。

发表评论