一聽(tīng)到安全研究人員說(shuō)發(fā)現(xiàn)某種新型惡意軟件時(shí)，大家第一反應(yīng)肯定是這些惡意軟件是不是又做了什么壞事，入侵設(shè)備竊取信息或者感染設(shè)備干擾使用等。然而，近日安全研究人員發(fā)現(xiàn)的WAPDropper惡意軟件卻是不一樣的存在。
昨日，安全研究人員警告說(shuō)，目前發(fā)現(xiàn)一個(gè)針對(duì)手機(jī)用戶的新的惡意軟件家族，這些惡意軟件讓目標(biāo)用戶悄悄地訂閱合法的高級(jí)撥號(hào)服務(wù)。
莫不是通信運(yùn)營(yíng)商的“臥底”吧？
非也。
WAPDropper惡意軟件是一種多功能病毒釋放器，可以傳播第二階段的惡意軟件，并使用機(jī)器學(xué)習(xí)解決方案來(lái)繞過(guò)圖像的CAPTCHA挑戰(zhàn)。
多功能病毒釋放器
網(wǎng)絡(luò)安全公司Check Point在最近的一次競(jìng)選活動(dòng)中發(fā)現(xiàn)了WAPDropper，它可以讓目標(biāo)用戶訂閱馬來(lái)西亞和泰國(guó)的電信提供商的高級(jí)撥號(hào)服務(wù)。
經(jīng)過(guò)對(duì)惡意軟件的分析顯示，它具有兩個(gè)模塊，即多功能病毒釋放器的功能模塊，可以在受感染的設(shè)備上下載并執(zhí)行其他惡意軟件。
WAPDropper的其中一個(gè)模塊負(fù)責(zé)從命令和控制服務(wù)器獲取第二階段的惡意軟件，而另一個(gè)模塊負(fù)責(zé)獲取高級(jí)撥號(hào)程序組件。
Check Point移動(dòng)研究經(jīng)理Aviran Hazum 表示：“ WAPDropper確實(shí)是多功能的。目前，該惡意軟件尚且還沒(méi)更改高級(jí)撥號(hào)程序，但將來(lái)，此有效負(fù)載可能能更改攻擊者想要的任何內(nèi)容”
你以為這是惡意軟件運(yùn)營(yíng)商“無(wú)聲的愛(ài)”？非也
利用該惡意軟件獲利也不難，越多的用戶訂閱了高級(jí)服務(wù)，對(duì)于能識(shí)別或者和特殊號(hào)碼合作的犯罪分子來(lái)說(shuō)，就能獲取更多的利益。
繞過(guò)圖像驗(yàn)證碼
根據(jù)Check Point的說(shuō)法，WAPDropper的運(yùn)營(yíng)商使用一種通用策略，將惡意軟件集成到非官方商店提供的應(yīng)用程序中。
一旦進(jìn)入受害設(shè)備，惡意軟件便會(huì)到達(dá)命令和控制（C2）服務(wù)器以獲取高級(jí)撥號(hào)程序。在一份技術(shù)報(bào)告中，研究人員說(shuō)，最初的惡意軟件活動(dòng)始于收集有關(guān)受感染設(shè)備的詳細(xì)信息，包括以下信息：
設(shè)備編號(hào)
MAC地址
訂戶編號(hào)
設(shè)備型號(hào)
所有已安裝應(yīng)用程序的列表
正在運(yùn)行的服務(wù)列表
最高活動(dòng)包名稱
屏幕是否打開(kāi)
是否為此應(yīng)用啟用了通知
這個(gè)應(yīng)用程式可以繪制疊加層嗎
可用的存儲(chǔ)空間量
RAM和可用RAM的總量
非系統(tǒng)應(yīng)用程序列表
然后開(kāi)始啟動(dòng)Webview組件以加載高級(jí)服務(wù)的登錄頁(yè)面并完成訂閱。在一個(gè)像素處，該組件在屏幕上幾乎是不可見(jiàn)的。
Check Point表示，如果存在圖像驗(yàn)證碼挑戰(zhàn)，WAPDropper使用來(lái)自一家名為“ Super Eagle”公司的服務(wù)，該公司提供基于機(jī)器學(xué)習(xí)技術(shù)的圖像識(shí)別解決方案。
破解CAPTCHA測(cè)試已經(jīng)有很長(zhǎng)時(shí)間了，使用專門為此創(chuàng)建的代碼讓破解更輕而易舉，同時(shí)該代碼可免費(fèi)在線獲得。
繞過(guò)圖像驗(yàn)證碼，WAPDropper有兩種選擇：一種需要下載CAPTCHA圖像并將其發(fā)送到服務(wù)器，另一種需要提取文件的DOM樹并將其發(fā)送到Super Eagle公司服務(wù)器，該公司提供基于機(jī)器學(xué)習(xí)的圖像識(shí)別服務(wù)。
根據(jù)Check Point的說(shuō)法，WAPDropper是通過(guò)非官方的安卓商店分發(fā)的，因此，用戶應(yīng)盡量在官方的應(yīng)用商店下載軟件，避免感染惡意病毒。