本以為有了手機短信驗證應該很安全了，沒想到銀行卡里的錢還是能被刷走，關鍵是一條短信都沒收到。到底是怎么回事？原來是手機木馬搞得鬼，很多奇怪的第三方軟件作為木馬攔截你的短信，發(fā)送到黑客的郵箱，然后轉走你的錢不就是分分鐘的事？各位不是大神的同志們，還是在安全的地方下載應用吧。還好我用的IOS，并且沒有越獄。

故事梗概

今年端午節(jié)特意動用帶薪年假，在家本著遠離黑客，遠離江湖，舒舒服服和家人享受幾天假期，誰知卻早已深陷江湖。

6月11日中午叔叔找上門，說自己的銀行卡莫名被盜刷了8萬1千元，錢被打到了平安付科技服務有限公司客戶備付金，以及同樣摘要為平安的廣州銀聯(lián)網(wǎng)絡支付有限公司客戶備付金，如下圖：

于是上網(wǎng)搜了一下平安付科技這家公司得到如下信息：

平安付科技本身是一個第三方的支付平臺接口，錢轉到平安付科技賬上后可以用來投資、理財?shù)?，趕緊給平安付科技客服去了個電話，客服那邊問了相關信息后卻讓等3天才能給結果，這服務態(tài)度~（此時叔叔已經(jīng)在當?shù)匦叹爤蟀福?/p>

我仔細推敲了這個事情，錢是被打到平安付的旺財上，對方需要綁定銀行卡，需要用到的信息有：銀行卡、身份賬號、銀行預留的手機號碼、短信驗證碼。前面的信息都容易掌握（目前網(wǎng)絡上有大量的泄露的銀行卡號、身份證號、手機號等信息）況且叔叔每次和客戶打款時也會把自己的銀行卡號、身份證號發(fā)給對方，所以這些信息默認早就泄露了，這里的關鍵是如何得到的短信驗證碼，且通過圖1可以看出，犯罪分子利用平安付轉走了4比錢，且最后一筆1000元都沒有放過，說明對方掌握了此張銀行卡的余額信息。

到這里總結出了兩點：對方掌握了1.手機號碼實時短信驗證碼2.銀行卡的余額信息。想到這里最先想到的是短信木馬了。于是拿出他的手機，查看短信權限時赫然看到了短信權限處存在一個叫做“校訊通”的應用，安裝日期正是6月10日。由于叔叔的孩子還在上中學所以經(jīng)常會收到相關校訊通的短信，他10日當天正好收到了一條提示安裝校訊通的短信，也沒有多想就直接安裝上了。

到這里事情的起因已經(jīng)很接近了，很可能是這是一個木馬程序竊取了他的短信內容，叔叔滿臉質疑，絲毫不相信這樣的事情也會發(fā)生他自己身上。

于是我繼續(xù)訪問這個ip地址,瀏覽器直接彈出提示下載校訊通.apk

拿到此APK后當立即開始分析（職業(yè)病又犯了，哎，我好好的端午節(jié)假期），這里發(fā)現(xiàn)這個版本的校訊通安卓木馬程序已經(jīng)進行了升級，與以往的此類程序多了很多新功能：增加了遠程更改配置功能和呼叫轉移功能，可以更改收信手機號碼或發(fā)信帳號的密碼，并能夠呼叫轉移聯(lián)通和移動用戶電話。

本次分析的樣本特征值：

用來接收受害人短信的郵箱賬號密碼：

進入郵箱看了一眼，滿眼都是淚，進去的時候此郵箱還在不停的接收著來自各地受害人的短信的郵件：

木馬程序發(fā)送的受害人手機上所有的短信內容：

受害人手機上的通訊錄，此木馬提取被害人通訊錄后會利用偽造的號碼繼續(xù)向通訊錄好友發(fā)送偽裝成校訊通的木馬安裝短信，從而繼續(xù)擴大安裝范圍：

受害人手機第一次感染運行后發(fā)來的上線信息：

搜索了一下平安關鍵詞，果然找到了綁定平安付等第三方支付的短信內容：

當然除了平安付平臺外還有支付寶等：

這里要特別給支付寶的企業(yè)責任精神點個贊，我第一時間聯(lián)系了這位受害人，受害人被盜走的錢中通過支付寶劃走的這一份部分已經(jīng)得到全額賠付，而平安付的這筆仍然還在等待中。

第一次啟動激活

asw6eih.vby.MainActivity

1.申請系統(tǒng)管理員權限

2.設置完畢之后檢查是否有了相應的權限，即是否被用戶接受。

3.設置默認處理軟件為當前App軟件

之后檢查是否被設置為默認處理軟件。

我們注意到了下面這一行代碼，這里的作用就是被設置為默認短信處理應用后就有權限攔截短信了：

而且在短信處理的Service中也確實發(fā)現(xiàn)了攔截的代碼（SmsReciver）：

通過BroadCast方式進行短信攔截僅在安卓4.4之前的版本有效，此時我們發(fā)現(xiàn)了針對安卓4.4版本，木馬作者寫了一個特殊的服務類：SmsReceiver4_4專門針對安卓4.4的版本。

4.設置短信監(jiān)聽

asw6eih.vby.MainService

在用戶啟動應用的時候，不僅僅啟動了一個Activity讓用戶做出一些響應，還啟動了一個服務。

 此時看郵箱里有不少中招的內容，如下所示，均來自該自動啟動的服務：

最新評論