关于近期相册类安卓恶意程序监测处置情况的通报.PDFVIP

关于近期“相册”类安卓恶意程序监测处置情况的通报 国家互联网应急中心（以下简称“CNCERT”）持续对通过短信传播、且具有窃取用户短 信和通讯录等恶意行为的“相册”类安卓恶意程序进行监测。近期，我中心监测发现该类恶意 程序变种5424 个，恶意传播该类恶意程序的URL 链接3456 个、恶意域名1510 个，用于接 收用户短信和通讯录的恶意邮箱账户 1364 个，用于接收用户短信的恶意手机号 1182 个， 泄露用户短信和通讯录邮件56 万封，累计感染用户超过20 万人，对用户信息安全造成严重 的安全威胁。CNCERT 第一时间对该类恶意程序的传播地址、恶意邮箱进行处置，有效控制 了恶意程序的影响范围。现将具体情况通报如下： 一、恶意程序行为分析 “相册”类恶意程序主要通过短信进行传播，黑客通过发送带有恶意程序下载链接的短信， 诱骗用户点击安装。 该类恶意程序具有恶意行为： 1）运行后隐藏安装图标, 同时诱骗用户点击激活设备管理器功能，导致用户无法正常卸 载； 2 ）私自向黑客指定的手机号发送提示短信，“软件安装完毕 n 识别码：IMEI 号码，型 号，手机系统版本”和“激活成功”； 3 ）私自将用户手机里已存在的所有短信和通讯录上传至指定的邮箱； 4 ）私自将用户接收到新的短信转发至指定的手机号，同时在用户的收件箱中删除该短 信。 二、恶意程序传播情况 黑产从业者通过阅读恶意程序窃取的用户短信和通讯录，可以了解身份信息、工作职 务、家庭情况、社会关系和经济基础等用户个人信息，从而可进行具有针对性的诈骗攻击。 为提高诈骗成功率，黑产从业者会根据目标人群制作具有针对性的恶意短信和恶意程序，冒 充好友、亲属、同事、领导或公职人员等多种身份向目标人群发送恶意短信和恶意程序下载 地址。 近期，CNCERT 监测发现该类恶意程序使用的程序名称多达167 种，具体程序名称详见 附件1。其中黑产从业者使用恶意程序名称频次最多的是“相片”，占所有恶意程序的17.40%， 其次是“相册”和“资料”，分别占10.52%和9.55% 。此外，黑产从业者使用最多的10 个恶意 程序名称还有“校讯通”、“违章查询”、“照片”、“视频”、“图片”、“积分客户端”、“成绩单”。 目前黑产从业者都是利用伪基站或者手机肉鸡等设备，向目标人群发送带有恶意程序 下载 URL 链接，通过这种方式传播恶意程序。为了提高链接的点击率，黑产从业者一般将 链接进行“短链接”转化，达到与其他正常短信中的“短链接”类似的效果，诱骗用户点击。近 期，CNCERT 监测发现“相册”类恶意程序使用的“短链接”域名64 个，其中使用 转换的 恶意链接最多，占总数26.79%，其次是使用 转换的恶意链接，占总数22.00%，第三是 使用 和 转换的恶意链接，分别占总数的6.22% 。 用户点击恶意短信中的“短链接”后会重定向至恶意程序的下载链接，最终下载恶意程序 文件。通过对重定向后的恶意下载链接进行分析， CNCERT 监测发现这些传播“相册”类恶意 程序的网站89.76%未进行备案，只有10.24%的网站进行了备案，其中22.08%的网站在境内 接入，77.92%的网站在境外接入。由此可以看出，传播“相册”类恶意程序的网站具有大部分 未备案、大部分在境外接入的特点。 在境外接入的恶意程序传播服务器中，位于香港的恶意服务器数量最多，占总数82.64%， 其次是位于美国和日本的服务器，分别占总数的7.23%和2.71% 。在境内接入的恶意程序传 播服务器中，位于北京的服务器数量最多，占总数 22.52%，其次是位于河南和上海的服务 器，分别占总数的17.22%和13.25%。 三、恶意程序所用邮箱统计 “相册”类恶意程序会将用户手机里已存在的所有短信和通讯录上传至指定的邮箱， CNCERT 分析发现该类恶意程序所用恶意邮箱账户1365 个，其中“21”恶意邮箱账户数 量最多，占总数35.60%，其次是“163.com”恶意邮箱账户，占总数15.84%，第三是“” 恶意邮箱账户，占总数9.62% 。下图显示了黑产从业者使用量排名前十的恶意邮箱类型。 四、恶意程序所用手机号统计 “相册”类恶意程序会将用户接收到新的短信转发至指定的手机号，CNCERT 监测到用于 接收用户短信的恶意手机号码1182 个，其中中国移动网内手机号数量最多，占总数72.93%， 其次是中国联通和中国电信，分别占25.55%和1.18%，最后是虚拟运