返回新闻列表

Faketoken手机银行木马新增数据加密功能 对超过2,000种应用进行攻击

       卡巴斯基实验室专家发现了Faketoken手机银行木马的一种变种,该变种能够加密用户数据。这种恶意程序会伪装成多种程序或游戏,包括Adobe Flash Player,窃取超过2,000种安卓金融应用的登陆凭证。截止到目前,这种Faketoken变种已经在27个国家造成超过16,000名受害者感染,其中大多数用户都位于俄罗斯、乌克兰、德国和泰国。

       新增的数据加密功能对木马程序来说并不常见,因为大多手机勒索软件主要是拦截用户使用设备,而非锁定数据,而且用户的数据通常会备份到云端。在Faketoken攻击中,用户的数据,包括文档和媒体文件如照片和视频都会利用一种AES对称加密算法进行加密。有些情况下,用户可以不必向网络罪犯支付赎金而解密这些数据。

       在感染初始阶段,木马会要求管理员权限,还要求用户同意该木马覆盖其他应用,或者成为默认的短信应用。通常情况下,用户几乎没有其他选择,只能选择同意。此外,这些权限还让Faektoken木马能够窃取数据,而且不仅能够直接窃取如联系人和文件等数据,还能够利用钓鱼网页,间接窃取其他数据。

       该木马被用于在全球范围内窃取数据:一旦木马获取到所有请求的权限,就会从自己的命令和控制服务器数据库。数据库包含77种语言,适用于不同地区的多种设备。这些数据库被用于创建钓鱼信息,窃取用户的Gmail账户密码。此外,该木马还能够覆盖Google Play 应用商店,显示一个钓鱼页面窃取用户的信用卡信息。事实上,这种木马能够下载一个包含很多可被攻击的应用列表,甚至利用HTML模板页面生成钓鱼页面,窃取相关应用的账户信息。卡巴斯基实验室的研究人员发现该列表中包含2,249种金融应用。

       有趣的是,这种Faketoken变种还会利用自己的快捷方式替换社交媒体网络、即时通讯工具和浏览器的快捷方式。这样做的原因尚不明确,因为替换的图标仍然指向合法的应用程序。

       “最新的Faketoken手机银行木马变种非常有趣,因为有些最新的功能似乎给攻击者带来的优势非常有限。但是,这并不意味着我们不应当慎重处理这种威胁。这些变化可能表示网络罪犯在为未来开发打基础,或者表明恶意软件在不断演化和创新。通过曝光这一威胁,我们能够消除它带来的威胁,帮助用户保护设备和数据安全,”卡巴斯基实验室高级恶意软件分析师Roman Unuchek说。

       卡巴斯基实验室建议安卓用户采取以下措施保护自己的安全,抵御Faketoken木马和其他恶意软件威胁:

  • 确保对所有的数据进行备份。
  • 当一款应用要求权限时,不要轻易同意这些权限——请仔细思考一下这些应用要求的是什么权限,以及为什么要获取这些权限。
  • 在所有的设备上安装反恶意软件解决方案,同时保持自己的操作系统和软件及时更新。

       卡巴斯基实验室检测到数千个能够加密数据的Faketoken安装包,其中最早的可以追溯到2016年7月。卡巴斯基实验室产品能够检测Faketoken恶意软件家族的所有变种。

       想要了解更多关于Faketoken变种的详情,请阅读Securelist上的相关博文