新款Android木马程序Gustuff锁定金融程序与加密货币程序

安全企业Group-IB于本周披露一款功能强大的Android金融木马程序Gustuff,它瞄准市场上超过100款金融程序与32款加密货币程序,除了可窃取用户的金融凭证之外,还能自动执行交易。

Gustuff主要的感染途径是借由短信发送恶意APK文件链接给Android用户,一旦Android用户下载并安装了Gustuff,它就能接收远程服务器的命令,发送恶意短信给设备上的联系人,进一步扩大感染范围。

Gustuff能够显示基于合法程序图标的假通知,当用户点击该通知时,可能会出现两种结果,一是跳出要求用户输入凭证的窗口,二是会打开合法程序,然后在付款字段自动填入支付信息以进行非法转帐。

第一种是金融木马最常见的手法,目的是为了窃取用户的金融凭证。第二种则依赖Gustuff的独特能力:自动转帐系统(Automatic Transfer Systems,ATS),ATS能够自动填入或篡改金融程序中的字段。

为了执行ATM,Gustuff利用了Android平台上的“辅助”(Accessibility Service)服务以绕过金融程序的安全机制,让Gustuff得以与这些金融程序交互,进而执行非法转帐。此外,Gustuff也能关闭Google Protect功能,且成功率高达7成。

Gustuff不只锁定众多的金融与加密货币程序,还能危及各种市场、线上商店、支付系统或通讯程序,涵盖PayPal、Western Union、eBay、Walmart、Skype与WhatsApp等。且除了窃取金融凭证或盗转之外,也可将受黑设备上的短信、屏幕截屏或照片发送到远程服务器,或是自远程将设备回复成出厂默认值。

Group-IB是在去年的4月于黑客论坛上发现了Gustuff,黑客并以每月800美元的价格兜售Gustuff僵尸网络。

有趣的是,Gustuff是由俄罗斯黑客所打造,但主要的感染范围或锁定的金融机构都是在俄罗斯以外,在Group-IB负责安全情报分析的Rustam Mirkasymov表示,这是因为俄罗斯政府最近大举扫荡境内的Android僵尸网络并逮捕相关黑客,才使得当地黑客将目标转移到国际市场。

发表评论