A60dd2c2c3c6c65dfa8beef93d0199c1 Trend Micro日前於官方資安部落格提到,他們發現了偽裝為美顏相機App的惡意程式,會透過濫用手機權限的方式,擅自進行手機帳單付費的操作,並竊聽傳送到手機的簡訊認證碼,在使用者不知情的狀態下完成付費設定,讓使用者因此蒙受財務損失。

假App真竊資

Trend Micro的行動威脅反應團隊(Mobile Threat Response Team)指出,在2019年初,Google更新了Android App的權限規則,限制了App存取簡訊與通話記錄的權限,並加入必需跳出提示對話框與詢問使用者是否授權App存取裝置中資訊的安全功能。

雖然種種防範手段可以避免惡意程式散佈,並阻止它們竊取個人資料,但根據Trend Micro對行動資安的趨勢分析顯示,數位犯罪者仍然會受到金錢利益的驅使,竭盡所能在日益綿密的防護網中尋找破口,以繞過各種防護措施,而最近研究團隊則發現有種舊的攻擊手法死灰復燃。

Trend Micro的研究團隊在Google Play網路商店發現名為Yellow Camera的App,它的行為與許多竊取訊息、暗藏廣告軟體等惡意程式類似,會在運作的過程中在系統嵌入1個子程式(Routine),並從系統通知中讀取簡訊驗證碼,然後啟動WAP付費(Wireless Application Protocol Billing),進而竊取使用者的金錢。

WAP付費能將使用者的消費合併至電信帳單或從預付點數抵扣,雖然省去了註冊或使用信用卡的麻煩,但也因為較鬆散的安全防護措施,而成為攻擊者覬覦的目標。

有許多惡意程式暗藏在美顏相機App之中。(圖片來源:Trend Micro,下同)

有使用者反應當他安裝App之後,電信預付額度就被異常扣款。

自動完成付費手續

當使用者安裝了含有這類惡意程式的App時,惡意程式會自動下載JavaScript Payloads自動化腳本,在背景開啟WAP付費網頁,接著便會自動點擊索取類型分配碼(Type Allocation Code,TAC)的按鈕,並竊聽透過簡訊傳送的認證碼,在使用者沒有查覺的情況下完成付費手續。

根據App下載的文件名稱,它似乎針對泰國、馬來西亞等東南亞國家進行攻擊,但同時也鎖定中文使用者,因此也很可能將目標轉移到其他具有多數中文人口的國家。

雖然Google已在Trend Micro回報問題後,將類似App從Google Play網路商店下架,但在Apple App Store網路商店還是可以看到類似App的蹤影。

這類與WAP付費相關的惡意程式,大多透過JavaScript Payloads在背景自動完成付費設定與認證,以竊取使用者的錢財。

惡意程式會自動下載進行攻擊所用的JavaScript Payloads。

惡意程式透過竊聽簡訊通知的方式,竊取關鍵的認證碼資料。

Trend Micro也提供了簡單的防範方式,建議使用者在安裝任何App的時候,都需要仔細閱讀App所提出的權限需求,並從中辨識App是否提出了不尋常的需求(比方本例中,照相App為什麼會需要讀取手機簡訊),如此一來便能過濾掉許多惡意程式。

使用 Facebook 留言

發表回應

謹慎發言,尊重彼此。按此展開留言規則