Android恶意软件“Revive”的深度伪装

lsekfe

日前，一款名为“Revive”的新型安卓银行恶意软件被发现，它模仿的是一款登录西班牙对外银行(BBVA)银行账户所需的2FA应用程序。该新型银行木马采用了一种更集中的方法针对西班牙对外银行(BBVA)，而不是试图危害多个金融机构的客户。虽然目前Revive还处于早期开发阶段，但它已经具备拦截双重身份验证 (2FA) 代码和一次性密码等高级功能。
　　Revive是由Cleafy的研究人员发现的，并以该恶意软件使用的一个同名功能命名，该功能被终止后会自动重启。根据研究人员的说法，新的恶意软件通过网络钓鱼攻击诱导用户下载一个应用程序，该应用程序是升级银行账户安全所需的2FA工具。该网络钓鱼攻击会通过欺骗用户嵌入到实际银行应用程序中的2FA功能不再满足安全级别要求，用户需要安装此附加工具来升级其银行安全性。

这款应用程序位于一个专门的网站上，网站上不仅展示了该应用程序专业的外观，甚至还有一个视频教程，指导受害者下载和安装它的过程。当用户安装后，Revive请求使用辅助功能服务的权限，这基本上使它可以完全控制屏幕并能够执行屏幕点击和导航操作。当用户第一次启动应用程序时，他们被要求授予它访问短信和电话的权限，这对2FA应用程序来说可能看起来很正常。然后凭据会被发送给威胁参与者的C2，然后加载一个通用主页，其中包含指向目标银行真实网站的链接。之后，Revive继续作为一个简单的键盘记录器在后台运行，记录用户在设备上键入的所有内容，并定期将其发送到C2。

在对Cleafy的代码分析中，作者也受到了Teradroid的启发，这是一款 Android 间谍软件，其代码可在GitHub上公开获得。这两者在API、Web框架和功能上有广泛的相似之处。Revive使用自定义控制面板来收集凭据并拦截SMS消息。可以说该恶意软件是一款几乎不会被任何安全供应商检测到的应用程序。例如，Cleafy在VirusTotal上的测试在一个样本上返回了4个检测结果，而在后来的变体上则没有。也很可能是小范围的目标定位、短期的活动和本地化的行动没有给安全供应商很多机会来记录这些威胁，并设置识别参数，以便他们可以潜伏更长的时间。