虚假安全应用针对日本用户进行窃密

McAfee 的安全研究人员发现了针对日本 NTT DOCOMO 用户的新型恶意软件。该恶意软件伪装成合法的移动安全应用程序，在 Google Play 商店中进行分发。应用程序名为 スマホ安心セキュリティ或 Smartphone Anshin Security实际上该恶意软件是针对 NTT DOCOMO 移动支付用户进密码盗窃与支付欺诈的。应用程序程序包名为 com.z.cloud.px.app与 com.z.px.appx，MaAfee 已经告知 Google 下架处理。

【来自法国的短信】

【Google Play 上的恶意软件】

攻击者还使用 Google Drive 来分发恶意软件，这一方式安装 APK 文件不会留下任何痕迹，而且安装过程更为简单。如果用户此前允许通过 Google Drive 来安装未知应用程序，只需要点击三次即可完成安装。

【跳转安装页面】

【询问网络密码】

网络密码可以用于 NTT DOCOMO 的在线支付，只需要输入四位密码即可将费用计入手机账单。

【界面对比】

获取密码后，恶意软件会显示虚假的移动安全状态。界面显示与旧版 McAfee Mobile Security 十分类似，但是所有的按钮其实都是假的，并不具备相关功能。

该恶意软件使用 Golang 编写，在执行期间加载了一个名为 libmyapp.so的库，该库在加载时会尝试使用 Web Socket 连接到 C&C 服务器。建立连接后，恶意软件会回传网络信息以及电话号码并接受如下控制：

通过命令 toggle_wifi将受害者从 Wi-Fi 切换到移动网络，再利用窃取的密码进行欺诈性购买。

【整体流程】

恶意软件使用反向代理来窃取用户的密码，实现欺诈性购买从而获利。用户在使用移动设备安装应用程序时，一定要更加小心谨慎。