“BankThief”- 针对波兰和捷克的新型银行钓鱼攻击
宣布时间 2019-03-061、概述
2019年2月中旬，东森平台ADLab发现了一款全新的Android银行钓鱼木马，该木马将自身伪装成“Google Play”应用（见图1），利用系统辅助服务功效监控熏染设备，以便在合法的银行APP运行时，启用对应的伪造好的银行钓鱼界面将其笼罩掉，来窃取受害用户的银行登录凭证。此次攻击的目标银行默认包罗包罗花旗银行在内的三十多家银行（见图2），因此我们将之命名为“BankThief”。“BankThief”的存在和流传无疑对这数十银行客户的工业宁静组成了严重的威胁。
“BankThief”会凭据熏染设备当地语言来配置自身显示语言，配置语言包罗捷克语和波兰语，而且“BankThief”链接的钓鱼页面服务器上配置有针对波兰和捷克的伪装银行钓鱼页面，因此我们推测“BankThief”的主要攻击目标国家为波兰和捷克。该木马的证书签名起始时间是2019年2月13日，存放恶意钓鱼页面的服务器域名为“anlixes.at”，从该域名的解析记录来看，该域名主要活跃时间为2019年1月28日至2月21日。据此可推断，“BankThief”开发和流传的时间应该在2019年1月底到2月初这个时间段。
东森平台ADLab研究人员对比了2018年9月LUKAS STEFANKO（ESET宁静研究员）披露的一款银行木马（MD5 = 03720d4e7ae807f7c8ce56e772c19bcc）后发现，“BankThief”与其有少许相似之处。好比，两款银行木马的攻击目标都包罗捷克和波兰；都是通过伪装的钓鱼页面笼罩掉目标银行合法的界面进行钓鱼攻击；都使用了Google Firebase云消息通报服务进行控制命令的下发。不外，他们的整体设计和代码实现机制却完全差异，也没有很强证据表明这两款银行木马存在关联性，因此我们认为“BankThief”是一款全新的木马。
2、木马行为简介
“BankThief”熏染目标设备后，首先通过无障碍服务（无障碍服务是辅助身体未便或者操作不灵活的人来操作手机应用的，其可以被用于监控手机当前活动APP界面，实现对目标界面自动化操作。）监控熏染设备。当监控到目标银行应用被打开时，银行木马会启动对应的伪装好的钓鱼页面笼罩掉真实的银行APP界面，在受害用户没有察觉的情况下窃取其银行登录凭证，“BankThief”会进一步将自身设置成默认短信应用来拦截银行短信，这样就绕过了基于SMS短信的双因素验证机制。其次，“BankThief主要利用Google Firebase 云消息通报服务（Google Firebase 云消息通报服务是Google提供的能资助开发者快速写出Web端和移动端应用通信的一种服务）来对熏染设备进行远控，包罗清空用户数据、卸载指定应用等恶意操作以及劫持包罗花旗银行在内的数十家银行APP应用的恶意行为。“BankThief”的攻击示意图见图3。
3、功效分析
“BankThief”的代码中，大量的字符串被加密存储（如图4），只有在其运行的过程中，在需要时才会使用自界说的解密算法进行解密操作（图5只列出其中一个解密算法），而且从多个“ALLATORIXDEMO”命名的函数名来看，“BankThief”使用了混淆器“Allatori”的Demo版来�；ぷ陨�，这无疑增加了研究人员分析的难度和事情量。
“BankThief”利用无障碍服务对熏染设备进行监控，实施钓鱼攻击。木马将自身伪装成“Google Service”服务，在诱使受害者开启对应的无障碍服务权限乐成后，会利用无障碍服务监控熏染设备的运行。当目标银行APP启动时，它会启动伪造好的对应钓鱼界面笼罩掉合法的银行APP界面，窃取受害用户的银行凭证。
此外，“BankThief”还试图阻止用户取消其管理员权限和限制三星系统管理应用的正常运行等手段来保障自身的宁静。
3.1 诱使用户开启恶意服务
“BankThief”诱使受害用户开启无障碍服务界面下伪装成“Google Service”的恶意服务，而且还隐藏了自身图标（见图6），防止受害用户察觉到异常。
在诱导受害用户操作的过程中，应用会跳转到无障碍设置界面，诱导受害用户开启“Google Service”服务。“BankThief”会凭据受害用户手机系统来选择使用捷克语还是波兰语提示（很显然，攻击者主要攻击的目标为波兰和捷克），如果用户没有开启该权限，会不停提示，直到受害用户开启为止（见图7）。
3.2 利用无障碍服务监控设备
“BankThief”利用无障碍服务监控熏染设备界面，来窃取受害用户银行登录凭证。当熏染设备运行目标银行APP时，木马就会打开其设置好的对应钓鱼界面，笼罩在合法的银行APP上面，神不知鬼不觉地拿走受害用户的银行登录凭证（见图8）。
3.3 请求设备管理员权限并防止取消
“BankThief”运行后，不光会将自身图标隐藏掉（见上图6），而且会激活其设备管理员权限（见图9）。这样，普通用户很难察觉并卸载掉它，从而到达恒久驻留在受害用户设备中的目的。
此外，“BankThief”还利用无障碍服务监控熏染设备，一旦发现受害用户试图取消管理员权限就强制返回，依靠这种流氓行为，阻止自身管理员权限被取消（见图10）。
3.4 阻止三星应用“Device Maintenance”
“BankThief”一旦发现熏染设备运行三星设备维护软件“Device Maintenance”，就强制返回桌面。“Device Maintenance”是三星研发的针对Android手机维护和优化的一款系统管理应用，可以对一些流氓和耗电的APP发出警告而且会主动关闭不须要的后台法式，“BankThief”大概是防止自身被该款应用检测和卸载才使用此流氓手段阻止其被打开（见图11）。“BankThief”的这一功效大概和三星手机在波兰领先的市场份额有很大关系。
4、命令控制分析
“BankThief”使用了Google Firebase云消息通报服务来进行控制命令的下发。攻击者利用Firebase云消息通报控制命令和http协议回传执行结果到自己控制的恶意服务器“anlixes.at”来形成一个控制回路。木马一旦发现用户启动合法的银行应用，便利用劫持功效将自身伪造的钓鱼页面笼罩在合法的银行应用上面。当用户在伪造的界面上输入银行账号、密码等登录信息后，登陆凭证便会被上传到恶意服务器“anlixes.at”上。
Firebase云消息通报（Firebase Cloud Messaging，简称FCM），也称Firebase云信息通报，前身为Google云消息通报（GCM），是一项针对Android、iOS以及网络应用法式的消息与通知的跨平台解决方案，目前可免费使用�？⒄咧恍枰趆ttps://firebase.google.com/上，登录自己的Google账户，经过简单的设置操作，便可以将Firebase服务配置到自己的移动APP中。完成移动端的APP设置后，开发者就可以在自己的Firebase网页中选择对应的APP，并在网页上编辑发送自界说的Message�？突Ф嗽蚧嵋訬otifications的方式接收这些Message。
从表1我们可以看到，控制命令分为两大部门，第一部门包罗前9个命令，分别体现“木马上线、将自身设置为默认短信应用、清空用户数据、将指定号码设置成呼叫转移号码”等。第二部门包罗后面的30个命令，当木马接收到Firebase传来的目标银行的APP包名字符串后，木马就打开对应的配置好的http钓鱼伪装界面，来窃取受害用户的银行登录凭证。
木马收到“online”指令后，将自身是否激活管理员权限、是否开启无障碍服务等信息写入配置文件后，发送上线包到远程服务器（见图13）。
4.1.2 将自身设置为默认短信应用
“lock”命令会引导用户设置木马自身为系统短信应用，接管短信服务，以获得对短信数据库的操作权限（见图14）。Android 4.4及其以后，只能设置一个默认的SMS短信APP，当短信到达后会首先通知设置的默认APP，而且只有该APP对短信数据库有修改的权限和短信的发送权限。设置乐成后，木马就劫持了系统短信，破解了基于短信的SMS短信双因素验证机制。
4.1.3 清空用户数据
当木马接收到“clear”指令，就清空用户数据（见图15）。
4.1.4 设置呼叫转移号码
“21”命令是设置熏染设备的呼叫转移号码为攻击者远程指定的手机号码（见图16）。攻击者首先打开熏染设备的拨号法式，然后通过输入“*21*手机号码#”对熏染设备设置呼叫转移。这样，攻击者就可以乐成拦截受害用户的手机来电。
4.1.5 设置配置文件“addm”为on
当木马收到“addm”命令后，就会设置配置文件“addm”项为on，用于激活自身管理员权限（见图17）。木马激活自身管理员权限后，可以防止自身被受害用户轻易卸载掉。
4.1.6 解密指定文件
图18中，“lckscr”指令目的是解密“asset”目录下加密文件到自身应用目录下的“/location/”路径下，凭据指令“dellckscr”，推测解密后的文件名为“www.html”。
图18 解密指定文件到指定路径
“dellckscr”指令用于加载自身应用目录下位置为“/location/www.html”的页面（见图19），不外我们在分析该木马时，并未发现此目录和相应文件，目的未知。
图19 加载指定页面
当接收到“src”指令时，木马会打开卸载APP界面，卸载掉攻击者指定的APP（见图20）。
图20 卸载指定应用
当收到的消息为“alpkg”时，木马就遍历系统应用名称，将收集的熏染设备安装的应用列表发送给攻击者控制的远程服务器（见图21）。攻击者知道目标设备安装有哪些应用后，尤其是银行应用，就可以针对目标银行来进行攻击。
图21 发送应用列表到远程服务器
当木马接收到Firebase传来的目标银行的APP包名字符串后，木马就打开对应的配置好的http钓鱼伪装界面，来窃取受害用户的银行登录凭证。从表1中我们可以看到在钓鱼服务器路径“http://anlixes.at/cz*”和“http://anlixes.at/pl*”下，至少配置有26个伪装的钓鱼页面在期待受害用户上钩，其中“http://anlixes.at/cz*”针对捷克、“http://anlixes.at/pl*”针对波兰”。我们分别列出其中的两个页面（图22和图23）。
4.2 监控数据返回
木马在执行命令后，会将执行结果或者对熏染设备的监控数据回传给自己控制的恶意服务器（见图24），从图中的代码我们可以看到木马是将熏染机的监控行为数据赋值给p参数后，发送到恶意服务器地址“http://anlixes.at/api/log”。图25是我们抓包的一个结果，从图中可以看到，我们试图卸载该恶意木马时，木马发送给恶意服务器的监控数据。
5、总结及建议
“BankThief”从2019年1月开始活跃，主要的攻击目标为波兰和捷克，不排除后期对其他国家或地域实行攻击的可能性。 “BankThief”利用无障碍服务监控熏染设备，劫持合法银行应用来对受害用户进行钓鱼攻击，再结合其截获到的银行验证短信，窃取受害用户钱财。“BankThief”还使用了代码混淆和字符串加密，增加了宁静研究人员分析的难度。同时，在攻击过程中，攻击者将恶意攻击流量隐藏在Google Firebase云消息隧道中，以制止攻击流量被网络设备处置，进一步加大了攻击的隐蔽性。
京公网安备11010802024551号