移动安全事件总结情况说明

2019 年各地移动安全事件总结

奇安信移动安全团队基于内部数据及相关公开资料，对 2019 年全球影响较大的移动安全事件进行了汇总，以便更好的展现 2019 年移动安全对全球的影响。

Google Play 为全球最大的移动应用平台，也是国外大多用户下载应用的首选平台。虽然 Google Play 一直致力于打击恶意 APP，但根据我们对 2019 年的数据总结，Google Play 也是恶意 APP 传播的主要途径。恶意软件团伙及个人，在利益的驱使下，通过各种方法混进 Google Play进行传播恶意软件，对用户造

成了巨大的经济损失。

下面我们通过图文的形式，展示 2019 年影响较大的国际移动安全事件。 2019 年移动恶意软件影响范围：

我们将 2019 年影响较大的移动安全事件，根据影响区域分为了两类，“无差别地区攻击”与“针对特定地区攻击”。

无差别地区攻击的恶意事件

恶意软件想大规模的传播，Google Play平台无疑是最好的选择，但能否绕过 Google Play的安全检测，并成功在 Google Play上架并不容易。所以通过对 2019 年的 Google Play主要安全事件统计，我们发现广告流氓软件占据了很大的比例，少量的间谍软件、银行木马也会出现，此外还有挂着正规厂商的越界软件。

推送广告的流氓软件

互联网盛行的今天，广告的收益非常大，这也就促使了很多团伙与个人通过各种手段推送广告获利。国际上对于流氓广告软件，其打击力度非常大，各大安全厂商及 Google Play对于 APP的审核也相当严格，然而面对海量的 APP软件，总会有漏网之鱼。下面我们列举 2019 年 Google Play 上发现的影响较大的推送广告的流氓软件事件。

Goole Play上发现的推送广告的恶意软件，其都是通过仿冒当下热度较高的 APP，以及用户用的较多的相机软件、游戏软件等进行诱骗用户下载；其运行方式也基本相同，隐藏自身图标后全屏推送广告。推送广告的流氓软件，对于用户来说是令人讨厌的，但对于广告公司来说是巨大的利润损失。

移动端的广告欺诈问题同样严重，广告欺诈主要针对广告厂商，通过广告堆叠、模拟点击、设备 ID重置欺诈、捆绑 ID欺诈、SDK欺诈等。目前已经形成了完整的黑色产业链，而每年通过欺诈的方式，黑产团伙可以获得将近 1 亿美元的收入。

预计到 2020 年移动广告将占全球广告支出的 30.5%，总额将达到 1870 亿美元，是桌面广告支出 880 亿美元的两倍多，仅落后电视广告 1920 亿美元 50 亿美元，以目前移动互联网的发展速度，超过电视广告也将很快到来。黑产团伙及个人在巨额利益的诱惑下，未来对移动互联网产业的冲击是巨大的。面对越来越复杂的技术，对于安全厂商来说，如何应对这一问题将至关重要。

银行木马软件相比于广告软件，银行木马危害程度要高很多络犯罪中非常流行，近年来各类恶意木马层出不穷个人信息、财产安全。2019 年奇安信移动安全团队对于流行银行木马进行了持续跟踪与分析。

2019 年活跃的主要银行木马：

。这类木马其针对性强，在网，其从根本上危害到了用户的

也时刻关注着这类软件，且

	银行木马名称		影响简介	备注
	Gustuff		Gustuff 木马可以仿冒 100 多种银行应用程序和 32 种加密货	尚未在 Google Play 出现。
	币，其目标包括美国银行、苏格兰银行、摩根大通、富国银行等。该木马还可以仿冒 PayPal， Western Union， eBay， Walmart，Skype，WhatsApp，Gett Taxi，Revolut 等。	尚未在国内出现。
Anubis	Anubis 木马功能强大，自身结合了钓鱼、远控、勒索木马的功能。已经影响全球 100 多个国家，300 多家金融机构。	已出现在 Google Play。尚未在国内出现，国内国际版应用被仿冒。
Cerberus	地狱犬为 2019 年新发现的 Android 银行木马，其目前正在地下论坛出租。目前为止仅适用七个法国银行、七个美国银行、一个日本银行、15 个非银行应用程序。	尚未在 Google Play 出现。尚未在国内出现。
Red Alert	Red Alert 最早出现在 2017 年，但 2019 年依然活跃。其针对 120 家银行和社交网络应用。针对国家多为欧美，日本、印度也有发现。	尚未在 Google Play 出现。尚未在国内出现。
Exobot	Exobot 主要针对移动支付应用，且对用户较多的应用下手，目前其主要针对 PayPal 及特定地区的银行、金融应用。	尚未在 Google Play 出现。尚未在国内出现。其源码已泄露。
2019 年活跃的主要银行木马，除了仿冒银行图标外，仿冒最多的图标：

Android 银行木马尤其以 Anubis 最臭名昭著，Anubis 功能异常强大，自身结合了钓鱼、远控、勒索木马等功能，其完全可以作为间谍软件。而且 Anubis 影响范围很大，可以仿冒全球 378 个银行及金融机构，目前主要活跃在欧美国家，国内暂时没有发现，奇安信移动安全团队自 Anubis 爆发以来，一直对其进行追踪，我们通过数据平台监测到 Anubis 仿冒国际版“抖音”与国际版“PUBG”，并予以披露。

Anubis 仿冒图标：

2019 年 Anubis 活动主要时间线：

值得注意的是，2019 年 Anubis 的作者，maza-in 被捕，其竟然是前军事人员，maza-in 可能将会面临 5 年的牢狱之灾。但由于 Anubis 的源码早已公开，所以 Anubis 的变种以及仿冒 Anubis 的恶意软件在未来还会给用户财产带来威胁。

2019 年 Cerberusd 的出现并通过其强大的功能，迅速被列入了顶级 Android 木马威胁的行列。更为有趣的是，Cerberus 的作者专门开通了推特账号，在其推特下发布该恶意软件的促销广告，并尝试与其他感兴趣的人沟通，同时发布安全厂商披露 Cerberusd 的文章，以此进行打趣。

间谍窃密软件

窃密软件以获取用户个人信息为目的，用户个人信息的贩卖同样也是黑产的一部分。相比于银行木马，窃密软件获取的信息更多，在一定程度上给用户造成损失的不止钱财。当攻击者掌握了足够多的用户信息，衍生的犯罪行为也会更多，用户潜在的威胁会更大。但是在数据爆炸的当下，有些数据泄露无法避免，我们只有将危害降低到最低。下面我们盘点下 2019 年重大的移动间谍窃密事件。

窃密方式	事件简介	备注
通过剪贴板窃密	Google Play 上首次发现了利用剪辑器窃取加密货币的恶意软件，该恶意软件冒充为 MetaMask 合法服务，恶意软件的主要目的是窃取受害者的凭据和私钥，以控制受害者的以太坊资金。	已出现在 Google Play。
SMS网络钓鱼	该攻击依赖于无线（OTA）设置的过程，运营商通常使用该过程将特定于网络的设置部署到加入其网络的新电话上。但是调查后发现，任何人都可以发送 OTA设置消息。	影响包括三星、华为、LG、索尼等手机。目前已修复。
仿冒正常 APP	Google Play 上发现一款窃密软件命名为 Joker，已发现有问题应用 24 款，影响国家达到 37 个，其中包括中国。	已出现在 Google Play。国内受影响。
仿冒正常 APP	Google Play上再次发现基于 Triout Android 间谍软件框架的 APP，其下载量达到了 5000 万，评论达到了 100 万。韩国、德国影响较为严重。	已出现在 Google Play。
嵌入 SDK	据 Check Point 报道，国内某公司在应用中嵌入 SWAnalytics SDK，用于收集用户数据，受影响应用多达 12 个。	国内受影响。
监控软件	Google Play 上检测到 8 个应用，可用于监控个人的软件，该软件主要用于监控员工、家庭成员。已累计下载 14 万次。	已出现在 Google Play。
仿冒正常 APP 间谍软件	Google Plasy 上发现基于 AhMyth，针对音乐发烧友的间谍软件。该恶意软件用于窃取用户个人信息，应用启动后多以英语、波斯语显示。	已出现在 Google Play，其它应用商城也已出现。
仿冒为聊天软件窃密	名为 CallerSpy 的聊天应用，本身并无聊天功能，目前应该处于测试阶段。启动时，CallerSpy 启动与通过 C＆C 服务器的连接 Socket.IO 监测即将到来的命令。然后，它利用 Evernote Android - Job 开始调度作业以窃取信息。	目前无受害用户
**StrandHogg 漏洞	StrandHog 漏洞可使恶意软件伪装成流行的应用程序，并要求各种权限，使黑客可以监听用户、拍摄照片、发送短信等。该漏洞影响包括 Android 10 的设备，直接导致了前 500 名最受欢迎的的应用面临被仿冒风险。	Android 用户可能面临风险。
目前窃密类恶意软件多为通过仿冒正规应用程序诱骗用户安装下载，而且其方法技术也在不断的更新，剪贴板窃密、SMS网络钓鱼、结合开源框架等恶意软件，未来随着技术的发展，恶意软件窃密的方法可能会更多。

通过对 2019 年窃密软件的总结，我们发现通过 Google Play进行传播仍然是

恶意作者的首选传播方式。然而事实也确实证实了，Google Play 的检测确实存在着盲区。这类软件一旦在 Google Play上架，影响范围是巨大的，包括中国用户也受到了波及。互联网的开放利弊很明显，当 Google Play无法完全过滤恶意软件的时候，当国内用户使用高科技上网的时候，那时候一部分人将直面这类窃密软件，带来的危害可能不止是个人的信息泄露。

包括影响国内用户的 Joker 窃密软件影响范围：

iOS漏洞相比于 Android，人们一直觉得 iOS 很安全。诚然 iOS 拥有比 Android 更安全的生态圈，有安全性更可靠的保障，但也是相对而言的，当前 iOS 并没有我们想象中的那么安全。

iOS 的安全是建立在苹果公司闭源的操作系统上的，其拥有独立的生态。但

近年来一直有黑客团伙利用丰富的漏洞进行攻击，包括 APT攻击。

研究团队	事件简介	影响
谷歌 Project Zero 安全研究团队	一些网站集结了五个漏洞利用链——将安全漏洞链接起来的工具，供黑客层层突破 iOS 数字防护。这些少见且错综复杂的代码链利用了总共 14 个安全漏洞，目标范围涵盖从浏览器 “沙箱” 隔离机制到操作系统内核的方方面面，最终目的是获取手机完全控制权。一旦安装上，该间谍软件可以监视实时位置数据，或者抓取照片、联系人，乃至从 iOS Keychain 中抽取密码和其他敏感信息。	iOS10 到 iOS 12
AdaptiveMobile Security	SIM卡超级漏洞，iPhone，Android 都会收到影响。该漏洞已经存在了两年之久，黑客可以使用该漏洞无声无息的入侵用户手机。	iPhone 、 Android
	荷兰黑客通过“查找我得 Iphone”应用中的漏洞，入侵数百个 icloud 账户，窃取用户隐私。	iPhone
	苹果公司修复了“AirDos”漏洞，该漏洞可以利用 AirDrop 共享弹出通知无限地向附近的所有 iPhone 和 iPad 发送垃圾邮件。	iPhone iPad
	iPhone 的 BootROM 漏洞被称为“ checkm8” ，这是一个无法修复的漏洞，影响了数亿部 iPhone，攻击者可以通过不可阻挡的越狱黑客在系统级别访问手机。很快出现了一种名为 checkra1n 的漏洞，该漏洞使用户可以绕过 DRM 限制来运行未经授权和自定义的软件。	iPhone
苹果的漏洞，仿佛在 2019 年都一下子冒了出来，包括历时数年的一次水坑攻击中，总共出现的 14 个 iphone 漏洞。这些导致 iOS 的安全问题在今年被无限放大，为此苹果在 12 月正式向公众开放了其私人漏洞赏金计划，同时将最高报酬提到了 100 万美元。

对特定地区攻击的恶意事件

全球共有 233 个国家和地区，每个国家跟地区使用的语言、生活习惯等都不相同，包括国家与地区之间可能由于种种原因，互有矛盾等。这也就造成了移动端恶意软件的攻击具有地域性。下面我们盘点 2019 年针对各个地区，比较具有代表性的恶意事件。

本次列举 2019 年重大恶意事件影响地区：

针对韩国的恶意软件

首先从我们的近邻韩国开始说起，根据我们内部的数据，2019 年韩国遭遇的恶意攻击事件众多，最多的为，因黑产而引起的银行木马，这类软件在韩国异常猖獗，且已经持续了多年。2019 年我们发现了针对韩国的几类银行木马，对其中的一些也进行过分析披露，我们发现该类木马多为国人编写，后台服务器众多，仿冒的软件涵盖了韩国大部分金融软件。

KBuster：通过仿冒韩国多款银行 APP的木马软件，在我们披露时已发现 55 种， 118 个在野样本，使用了多达 300 个服务器用于存放用户信息。主要伪造的图标：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-klZ25P1K-1664155720482)(http://public.host.github5.com/imgs/img/pdf63.pdf.013.png)]

样本执行流程图：

Google Play 上发现韩国公交车应用件，攻击特定目标。

应用信息：

Bus App 系列软件，被黑客利用下发虚假插

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-nfRzTs7c-1664155720483)(http://public.host.github5.com/imgs/img/pdf63.pdf.016.png)]

感染流程图：

针对巴基斯坦的恶意软件

由于地区政治的原因，印巴之间一直有冲突，然而在 APT攻击之外，2019 年我们发现，有监控软件对巴基斯坦地区实施长时间的监控活动。我们将此次活动命名为：克什米尔冲突之针对巴基斯坦的 Chenab（奇纳布河）监控活动。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-YBI6cych-1664155720485)(http://public.host.github5.com/imgs/img/pdf63.pdf.018.png)]

远控指令列表：

针对日本的恶意软件

FunkyBot：针对日本的新型 Android 恶意软件家族，该类恶意软件会模拟为一家物流公司诱骗用户使用，并窃取用户手机信息上传至恶意服务器。

FunkyBot特殊的地方在于，类似 Anubis 曾经使用虚假的 Telegram 和 Twitter 帐户一样，FunkyBot 也会使用社交媒体账号获取其 C2，它下载了没有照片的 Instagram 帐户的网页。然后，提取该帐户的传记字段，并使用 Base64 对其进行

解码。而且根据溯源发现，该软件目前还处于开发测试阶段。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-W2mgUC0M-1664155720486)(http://public.host.github5.com/imgs/img/pdf64.pdf.003.png)]

针对波兰、捷克的恶意软件

2019 年初，启明星辰 ADLab 发现了一款全新的 Android 银行钓鱼木马，命名为 BankThief。该类木马主要针对波兰、捷克等数十家银行客户端。目标银行 logo：

攻击流程图：

针对意大利的恶意软件

2019 年 3 月 29 日，Security Without Borders 发现了一个新的 Android 间谍软件，他们将之命名为“Exodus”。Security Without Borders 在 Google Play中收集了 2016 年到 2019 年初的大量样本，他们发现 Exodus 是由意大利一家名为 eSurv 从事视频监控的公司开发的，其在 Google Play 中伪装为移动运行商的应用程序，页面与诱饵都是意大利语，通过 Google Play 公开的数据显示，最多的一个下载量达到了 350 个，目前这些软件都已从 Google Play 中删除。

Google Play 中下载页面：

针对西班牙的恶意软件

西班牙一直比较受银行木马所青睐，在 2019 年我们捕获了多起针对西班牙的银行木马事件。其中最多得为 Anubis 与 Gnip。而 Gnip 为经过 Anubis 变种而来的。

2019 年我们检测到，Anubis 通过仿冒为西班牙邮政运营商 Correos 的恶意软件。

Anubis 攻击西班牙载体：

打开推特获取备份 C2：

仿冒银行登录页面：

2019 年银行木马 Ginp 针对西班牙与英国的攻击活动，其模仿 Adobe Flash Player，滥用辅助功能服务，将其自身设置为默认 SMS应用程序，从 C＆C服务器获取网络钓鱼注入。

Ginp 为 Anubis 变种，Ginp 与 Anubis 代码对比：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-XWP3Ww89-1664155720494)(http://public.host.github5.com/imgs/img/pdf64.pdf.013.png)]

针对澳大利亚的恶意软件

2019 年银行木马在国外盛行，澳大利亚也遭到了 Gustuff 的袭击。Gustuff 多次将目标瞄准澳大利亚，它可以仿冒澳大利亚市场上 100 多种金融程序及 32 种加密货币程序，除了可以窃取金融凭证外，还可以自动执行交易。

Gustuff 一直在不断更新，2019 年早些时候被披露以后，其不断的在更新功能、C2 与传播方式。Gustuff 在开始的时候通过仿冒银行木马 Marcher，在一次次更新后，其代码结构、方法上已完全脱离了 Marcher。

Group-IB统计的六月份与十月份域名点击情况：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-IxO7hmkj-1664155720494)(http://public.host.github5.com/imgs/img/pdf64.pdf.014.png)]

针对奥地利的恶意软件

2019 年我们发现了一款仿冒奥地利“Willhaben”软件的钓鱼木马，其会获取用户信息，并通过短信的方式向用户发送退款链接，从而诱骗用户钱财。

预付款钓鱼页面：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-TQCdbHRP-1664155720497)(http://public.host.github5.com/imgs/img/pdf64.pdf.017.png)]

针对埃及的恶意软件

“尼罗河之眼”，2019 年 3 月 Check Point 发现了针对埃及记者与人权活动者的攻击。其攻击方式新颖，通过“ OAuth 网络钓鱼”的技术。通过滥用于 Gmail或 Outlook 等流行邮件服务的第三方应用程序，攻击者操纵了受害者，使他们可以完全访问他们的电子邮件。

入侵流程：

攻击的 APK：

针对德国的恶意软件

德国联邦信息安全办公室（BSI）在 2019 年 6 月 6 日发布了安全警告，该国至少有四款只能手机型号的固件种嵌入了后门恶意软件。受影响的型号有 Doogee BL7000，M-Horse Pure 1，Keecoo P11 和 VKworld Mix Plus。嵌入的恶意软件为 Andr / Xgen2-CY 。

该恶意软件收集的信息如下：

针对巴西的恶意软件

2019 年我们在巴西发现了仿冒 WannaCry 勒索软件，该恶意软件在 UI上借鉴了 WannaCry，功能上除了可以获取用户信息以外，还可以执行 DDOS 攻击，网络钓鱼等。与国内早期发现的仿冒 WannaCry 勒索软件的 “王者荣耀辅助”已完全不同。

含有西班牙语的勒索界面：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JCUijc4O-1664155720500)(http://public.host.github5.com/imgs/img/pdf64.pdf.021.png)]

同样在巴西，发现了“BRATA”远控恶意家族，其专门针对巴西，从一月开始已经通过 Google Play在巴西广泛传播，目前已在 Google Play上发现了２０多种不同的变体。

远控指令及含义：

针对伊朗的恶意软件

伊朗由于各种原因，依然是 2019 年世界的焦点。2019 我们发现有相关间谍软件，仿冒为“ب زر گ ک ورو ش!”(居鲁士大帝！)针对伊朗的攻击。此类样本极具有诱惑性，通过普及伊朗一些历史事件，诱骗用户安装使用，目的为窃取伊朗用户个人信息。

指令列表：

移动应用其它安全事件

2019 年，除了以上具有代表性的针对地区攻击外，还有更多的地区受到其它移动安全事件的影响，其中以“TikTok”、“WhatsApp”、“ToTok”最受关注。

TikTok：海外版抖音。

美国民主党议员 Schumer 提出抖音海外版 TikTok 对用户数据处理，会影响美国国家安全，之后美国陆军、海军相继对短视频 TikTok展开安全评估，并在军队中禁止使用 TikTok。而在年初的时候，该议员还呼吁联邦调查局（FBI）和联邦贸易委员（FTC）开展对俄罗斯人脸编辑照片应用程序 FaceApp 进行国家安全和隐私调查。其实无论 TikTok是否真的收集了敏感数据，从美国的做法中我们可以看出，在面对国家安全的时候谨慎的态度让我们看到了，其对移动安全的重视，对数据安全的重视。

WhatsApp：堪称海外版微信。

WhatsApp 指责以色列公司 NSO 攻击其软件，从而对中东等地的持有不同政

见的个人、记者、维权人士进行监控，获取经过了半年的调查，发现黑客利用其向约息。

ToTok：阿联酋用户最多的通讯应用重要数据信息。WhatsApp 表示，其 1400 部手机发动攻击，窃取宝贵的信

。

阿联酋，是一个禁用诸如 WhatsApp 和 Skype 之类的聊天 APP 的国家，因此 ToTok的出现引领了一股下载风潮。但据熟悉机密情报评估和对该应用程序及其开发者进行调查的美国官员说，ToTok实际上是一种间谍工具。阿拉伯联合酋长国政府使用它来尝试跟踪将其安装在手机上的人们的每一次对话，动向，关系，约会，声音和图像。

智能手机已经发展了十多年，移动威胁产生的时间与其差不多，智能手机目前已经嵌入到了我们的生活，从最初的供给面到现在的多平台攻击，包括平板电脑、手机、电视、医疗设备等，未来还有物联网，威胁与日俱增。同样的智能手机的发展，为一些黑客组织、个人提供了完美的平台。在未来针对地区的攻击会越多，我们面对的威胁也会更多。