具有广泛间谍软件功能的新恶意软件会从受感染的 Android 设备中窃取数据,并旨在在读取新信息时自动触发以进行泄露。 该间谍软件只能作为“系统更新”应用程序安装,可通过第三方 Android 应用程序商店获得,因为它从未在 Google 的 Play 商店中提供。 这极大地限制了它可以感染的设备数量,因为大多数有经验的用户很可能一开始就避免安装它。 该恶意软件还缺乏自行感染其他 Android 设备的方法,从而增加了其有限的传播能力。
但是,在窃取您的数据时,此远程访问木马 (RAT) 可以收集大量信息并将其泄露到其命令和控制服务器。 发现它的 Zimperium 研究人员在“窃取数据、消息、图像和控制 Android 手机”时观察到它。
安装恶意软件时会发生什么
他们补充说:“一旦获得控制权,黑客就可以记录音频和电话、拍照、查看浏览器历史记录、访问 WhatsApp 消息等等。” Zimperium 表示,其广泛的数据盗窃功能包括:
- 窃取即时通讯信息;
- 窃取即时通讯数据库文件(如果root可用);
- 检查默认浏览器的书签和搜索;
- 检查来自 Google Chrome、Mozilla Firefox 和三星 Internet 浏览器的书签和搜索历史;
- 搜索具有特定扩展名的文件(包括 .pdf、.doc、.docx 和 .xls、.xlsx);
- 检查剪贴板数据;
- 检查通知内容;
- 录音;
- 电话录音;
- 定期拍照(通过前置或后置摄像头);
- 列出已安装的应用程序;
- 窃取图像和视频;
- 监控 GPS 位置;
- 窃取短信;
- 窃取手机通讯录;
- 窃取通话记录;
- 泄露设备信息(例如,已安装的应用程序、设备名称、存储统计信息)。
它是如何起作用的?
一旦安装在 Android 设备上,恶意软件将向其 Firebase 命令和控制 (C2) 服务器发送几条信息,包括存储统计信息、互联网连接类型以及各种应用程序(如 WhatsApp)的存在。 如果间谍软件具有 root 访问权限,或者在诱骗受害者启用受感染设备上的功能后将使用辅助功能服务,则该间谍软件会直接收集数据。 当用户连接到 Wi-Fi 网络时,它还将扫描外部存储以查找任何存储或缓存的数据、收集数据并将其传送到 C2 服务器。 与其他旨在窃取数据的恶意软件不同,此恶意软件仅在满足某些条件时才会使用 Android 的 contentObserver 和广播接收器触发,例如添加新联系人、新短信或安装新应用程序。
Zimperium 说:“通过 Firebase 消息服务接收到的命令会启动诸如从麦克风录制音频和泄露诸如 SMS 消息之类的数据之类的操作。”
“Firebase 通信仅用于发出命令,专用 C&C 服务器用于通过 POST 请求收集被盗数据。”
伪装
当恶意软件收到来自其主人的新命令以伪装其恶意活动时,它还将显示虚假的“正在搜索更新..”系统更新通知。 该间谍软件还通过隐藏抽屉/菜单中的图标来隐藏其在受感染的 Android 设备上的存在。 为了进一步逃避检测,它只会窃取它找到的视频和图像的缩略图,从而减少受害者的带宽消耗,以避免将他们的注意力吸引到后台数据泄露活动上。 与其他大量收集数据的恶意软件不同,这款恶意软件还将确保它仅泄露最新数据,收集在过去几分钟内创建的位置数据和拍摄的照片。
如果您想 读 更有用 文章和提示 关于各种软件和硬件的访问 errortools 每日