潜伏4年，安卓间谍软件伺机操控你的手机！只感染有钱人，还能隐藏踪迹

潜伏4年，安卓间谍软件伺机操控你的手机！只感染有钱人，还能隐藏踪迹

近日，韩国多位明星的手机被黑，被黑的手机均为三星安卓手机。 手机安全问题逐渐引起大家的关注。

尽管用户的隐私意识逐渐增强，但仍然敌不过试图窃取信息的黑客。 不行，安卓用户又得睡觉了。

近日，罗马尼亚反病毒研究人员发现了一种多阶段间谍软件（multi-stage），该软件自2016年以来一直潜伏在后台。该间谍软件可以“完全控制移动设备”，窃取信息和密码，侵入银行账户，甚至通过恢复出厂设置来掩盖其踪迹。

不过，如果你没有多少钱，也不必担心。 资料显示，这款间谍软件非常“恨穷爱富”。 只有当其背后的操作者判断受害者有足够的钱值得窃取时，它才会被激活。 它已经感染了数千名用户。

如今，已确认感染的应用程序已从谷歌商店下架，但可以肯定的是，一些谷歌不确定是否感染的应用程序仍然保留着。

因此，谷歌建议，为了防止更多用户感染该病毒，请确保您的手机设置为不接受“未知来源”的应用程序，并且最好安装一些防病毒软件。

完整报告：

%7Cc%7CIR

从安全到被黑，只有三步酿成悲剧

从应用程序黑客攻击到完全控制你的手机，只需要三个步骤，而且用户很少意识到这一点。

侵入手机的第一阶段称为“监视”( )，以应用程序的形式出现，该应用程序看起来像无害的应用程序，同时也执行一些正常操作。 其中一些在 Play 中通过搜索词 XE、Car News、Vid、Abfix 和 被识别。

尽管所有相关内容已从 Play 商店中删除，但 Tom's Guide 发现相关内容仍然出现在 Play 上。

如果这些看似无害的应用程序之一被意外安装，它会立即开始收集有关用户设备和周围环境的信息，但它还不会做任何可怕的事情。 在后续的使用中，如果应用程序的表现不如宣传的那么好，当用户在 Play 商店留下差评时，恶意软件运营商甚至会出面道歉并承诺改进。

除此之外，第一阶段引诱您授权安装来自 Play 商店之外的应用程序，然后进入第二阶段——“加载程序”( )，为了避免怀疑，它称自己为“”。 “加载程序”潜伏在后台，收集有关您的更多信息并发送给恶意软件操作者，直到他们确定您是否足够富有。

如果成为他们的目标，加载程序就会进入第三阶段，即“核心恶意软件”（Core）。

作者写道：“鉴于间谍平台的复杂性，我们假设每次攻击都是有针对性的，以外科手术般的精度进行，并且是手动而不是自动执行的。”

“我们估计当前间谍软件浪潮中的受害者数以万计，自 2016 年以来的四年内可能有数十万受害者。”

《仪式性自杀》

三步窃取信息已经够可怕的了，但这还不是结束。 当遇到“危险”时，它会自动将手机恢复到出厂设置，以确保不会暴露自己。

在引诱用户的同时，它通过在屏幕上放置一个虚假的覆盖窗口来欺骗用户，比如必须同意的用户许可协议，这些协议是针对不同手机、屏幕尺寸、语言和版本量身定制的，当用户点击“确定”接受协议时，就会被授予管理权限。

一旦获得授权，它会将所有短信转发给攻击者，将通话记录转发给其他号码，阻止通话功能，安装或删除应用程序，窃取联系人列表，隐藏通知，记录屏幕活动，窃取在线银行帐户的密码，创建网络钓鱼页面以窃取来自 Gmail 和 的凭据，并跟踪您的位置。

“coup de grâce”是恶意软件中内置的一个名为“()”的命令，以日本的自杀仪式形式命名，执行该命令后，会进行软件仓库级设备清理，删除恶意软件的所有痕迹以及所有用户数据。

而且，由于之前授权的管理权限，即使一刀切地重启或卸载第一阶段的应用程序，也很难保证摆脱核心恶意软件的攻击。

四年的演变简史

从2016年到现在，潜伏的四年，也是不断进化的四年。

2016年，Oxide的第一个版本问世，主要是模仿Adobe的初始应用程序，但此时中心核心部分已经初步确定。 同年，第二个版本的briar出现。 第二个版本没有添加额外的功能，但需要注意的是，从第二个版本开始，它就确立了模仿常见应用程序的传统。

2016年底，第三版出现，在第三版的基础上，直到今天仍在更新和发展。 第三个版本已经能够实现拦截手机来电、过滤短信历史记录等功能。

截至目前，内部只有两个核心，一个初始立足点示例（ ）和一个下载核心（ core ）。

一年多后，即2018年7月，出现了第二波浪潮。 研究人员表示，尚不清楚为什么要等这么久，但可以肯定的是，升级系统需要时间。

这时，战场被带到了谷歌商店，他们开始部署样本，标准化结构，最终形成了上述“加载程序”和核心恶意软件两个步骤。 “”通过商店分发，与普通应用程序相同，但它还具有下载和加载核心附加程序的功能。

在这个阶段，进化相当迅速，但还没有进一步发展，至少从收集的样本来看是这样。 这种结构没有持续下去的原因之一可能是留下了太多的痕迹。

2019年初，推出了新的构件类型——“抵达”，至此，完整搭建已成功。

对于这些应用程序来说，代码越少越好，它只需要下载一个加载器组件并创建受害者的初始配置文件，这在这方面是完美的。

“恨穷爱富”：一切都是为了钱

这种巧妙的能力以及有针对性的攻击通常会被视为国家级间谍活动，但领先的研究人员看到了更多纯粹犯罪驱动的金钱掠夺的证据。

例如，假设遵循标准的俄罗斯模式，它不攻击俄罗斯或前苏联的用户，同时也避开所有非洲、所有阿拉伯语国家和许多其他贫穷国家。 同时，由于未知的原因，它也避免将自己安装在带有SIM卡或来自中国顶级移动运营商的SIM卡的手机上。

目前可以确定的是，中国的主要目标是澳大利亚，其次是北美、西欧（和波兰）以及南美洲一些较富裕的地区。

对于这些领域的富人来说，也给出了值得参考的：“唯一的删除方法就是以安全模式启动设备，删除设备管理员的特殊权限，然后手动卸载。”

当此类间谍软件越来越多地渗透到我们的日常生活中时，我们如何保证我们的信息安全？

更深层次来说，这类问题是技术作为一把双刃剑不可避免的弊端，还是有一天会被技术本身解决？ 在未来技术的不断发展中，我们也希望看到一种可能形式的答案。

我的公司需要一个单独的数据团队吗？

我应该何时以及如何建立我的数据团队？

数据团队的价值如何衡量？

数据团队受疫情影响如何？

让我们一起来解析一下数据团队建设的全貌吧！

扫描二维码填写调查问卷▼

实习/全职编辑记者招聘

加入我们，体验专业科技媒体的每一个细节，在最有前途的行业与全球最优秀的人才一起成长。 协调北京清华东门，在大数据文摘首页对话页面回复“招聘”了解详情，请将简历直接发送至

志愿者介绍