首页> 安全资讯 > 央视曝光“不死木马” 移动支付安全引担忧

央视曝光“不死木马” 移动支付安全引担忧

发布时间:2014-03-01

据悉:央视经济频道《经济半小时》节目曝光了由手机安全检测中心捕获的全球首个安卓手机木马 “不死木马”。央视记者证实发现,“不死”木马会偷偷下载大量色情软件,造成话费损失,国内感染手机超50万。与以往所有木马不同的是,该木马被写入手机磁盘引导区,全球任何杀毒软件均无法彻底将其清除,即使可以暂时查杀,但在手机重启后,木马又会“复活”。

央视记者采访了手机安全工程师,据工程师介绍, “不死木马”通过人工刷入被感染设备的磁盘引导区,可以获得极早地启动优先级和最高的运行权限,有效避免被杀毒软件清除并更有效地隐藏自身。而目前全球所有手机安全软件,即使可暂时报毒和清除恶意代码,在手机重启后,“不死木马”也会再次“复活”,继续“吸费”。

该木马的主要行为是下载大量推广软件,造成流量话费损失;频繁联网,造成电量迅速消耗。而据手机安全工程师介绍,该木马拥有极高的权限,其实可以完全控制手机,甚至可以实现打电话、发短信、录音等多种侵害行为。

不死木马牵出十亿刷机黑色产业链

该木马的出现,牵出了国内一个制造手机木马、刷入手机木马、将带毒手机出售给消费者的庞大神秘黑色产业链。

此前一直有报道称某些IT卖场的商家会将手机木马植入手机中,但由于手机木马也可以通过网络传播进行远程攻击,所以并未抓到确凿证据。而此次捕获的“不死木马”则和之前的不同。

据手机安全专家分析,“不死木马”被植入手机磁盘引导区有两种方法:

1)攻击者曾物理地接触到被感染手机,并将包含了恶意文件的boot.img镜像文件刷到设备的boot分区中;

2)在系统运行期间,获得root权限之后,通过dd工具将恶意文件强行地写入到磁盘的boot分区中。

但目前所有的证据都支持第一种可能性。首先,得到的受害者被感染手机样本购买于中关村的某大型IT卖场,并非购买于官方渠道。

其次,被感染设备(Galaxy Note II)安装了Samsung官方的系统,其中的普通系统软件均包含有效的Samsung官方签名,但是recovery分区已经被替换为一个第三方的ROM。此外,boot分区下的所有文件都拥有相同的时间戳。

最后,基于云安全技术,所有被感染设备的型号中,超过一半都不是流行的大众机型。而如果采用第二种攻击方法进行远程感染,目标是随机不可控的,被感染设备型号分布应该更接近于Android设备的市场分布情况。

所以,可以断定,“不死木马”是在手机的流通和销售的某个环节,被人手工刷入手机中,再将带毒手机卖给消费者的。

而据手机安全部门统计,目前国内感染该木马的手机超过了50万台。那么,是谁制造了这个木马?是谁将木马刷入了受害者的手机中?有多少人参与了这条“黑色产业链”?有多少受害者还在被暗中“吸费”?。

据手机安全专家介绍,保守估计国内年水货手机销量近2000万部,庞大的水货市场衍生出了刷机产业链,但已知的刷机主要以刷应用软件,赚取推广费为主,按照每部50元计算,保守估计这个产业链最少是10亿级别。

比如,深圳水货手机入关后,立刻就会淹没在刷机产业链中,大部分人拿到手的手机已经预装各类软件应用。一部从深圳华强北流出来的手机,到消费者手中时,也许已被刷过五六次,每次刷机,大水货批发商、小一级批发商以及全国水货网点都会把各种软件刷入,并向软件开发商收预装费。一般来说,一个软件收取1元到10元不等。

而此次出现的“不死木马”,单个木马感染量高达50万,可以预计,未来将会出现更多这种人工刷入手机磁盘引导区的木马,对消费者资费安全造成严重威胁。

面对此类安全隐患 消费者如何防范?

在专杀工具检测到“不死木马”后,将机型信息和样本上报给我们,可以帮助我们更好地发现新的变种,保卫更多用户的手机安全;

此外,手机安全专家表示,“不死木马”通过物理接触或磁盘操作将自身写入boot分区,并改写init.rc脚本,是一个具有标志性意义的手机木马。这种攻击技术可能在将来被其他木马所使用,造成安卓反病毒事业上下一轮艰难的攻防对抗。手机安全专家将继续密切关注这类攻击的发展并提供安全保护方案。(来源:比特网)

 

加入收藏