2019年移动安全总结

作者：李辉
2020年01月13日
sec

序言

随着2019年的逝去，二十一世纪第二个十年也已随之结束。

回顾过去的十年，我们的生活随着科技的进步发生了翻天覆地的变化，这其中，手机就是其中一个最直观的表现。
过去的十年，我们的手机在不断的更新换代。从“品牌”来看，我们的手机从摩托罗拉、诺基亚、西门子、黑莓等，变成了华为、苹果、小米、OPPO、vivo、三星等。从手机“操作系统”来看，我们早已告别了塞班、黑莓，如今已经进入了Android、iOS与WindowsPhone，从市场占比上看，如今俨然已是Android跟iOS的双足鼎立。然而伴随着手机的发展，手机病毒也由开始的“短信轰炸”发展到现在的多种多样，甚至已经变为了诈骗犯罪、窃取情报、政治攻击的武器。

诚然，我们的科学技术是在不断进步的，但阳光照射下总会有阴暗的地方。每个时间段我们总要去面对新的问题，每个时间段我们总要去面对新的移动安全问题。回顾2019年，移动安全发生了太多的事，数据泄露、病毒木马、安全漏洞、APT攻击等。无论是关系到我们大众的个人隐私信息，还是关系到国家的安全建设，都让我们认识到了移动安全的重要性。
本报告为奇安信移动安全团队，基于2019年国内外发生的移动安全事件、各个安全厂商披露的移动安全威胁活动以及我们内部产生的威胁情报数据，对2019年移动安全事件的总结。

主要观点

暴利黑产决定病毒木马
移动端黑产，总是伴随着移动端技术而发展，目前移动端黑产种类繁多且产业链完善。暴利的驱使，使得黑产从业人员不断的开发出新的获利方式，目前移动黑产种类有：暗扣话费、广告流量变现、手机应用分发、木马刷量、勒索软件、控制肉鸡挖矿等。这样我们就可以找到目前市面上的移动病毒产生根源，银行木马、色情软件、拦截马、流氓软件等都是黑产团伙为了获利而生产的工具。2019年黑产活动依然猖獗，在即将踏入物联网的时代，移动安全会面临更加严峻的挑战。
政治目的决定APT攻击
2019年奇安信威胁情报中心、奇安信移动安全团队捕获并披露多起移动APT攻击，其中在中东等有武装冲突，政治矛盾比较复杂的地区APT攻击比较多。我国也一直被一些APT组织攻击，且被攻击的目标广泛，涵盖部门众多。2019年各国面临的APT攻击依然频繁，在国际形势敏感的当下，掌握先机就代表着掌握了主动权，未来的APT战场上，移动APT值得我们重视。
移动社区安全需要加强
相比于iOS，Android的社区安全依然不容乐观。Google Play作为全球最大的Android软件平台，根据我们2019年的研究报告及公开资料，Google Play已经成为了重灾区。国内情况也大同小异，好在目前工信部已经对各个平台、众多软件做出了整改的要求。当然维护Android社区的健康发展，还需要我们共同的努力。
个人安全意识需要提高
广大用户，应该提高自己的安全意识。移动端APP已经覆盖了我们的工作、生活，未来我们会更加的依赖，作为用户我们需要对APP有一定的甄别能力。2019年依然有大量的用户因一些钓鱼木马、色情软件等上当受骗，希望在未来更加广泛的移动产品里，用户可以提高安全意识。

第一章 2019年各地移动安全事件总结

奇安信移动安全团队基于内部数据及相关公开资料，对2019年全球影响较大的移动安全事件进行了汇总，以便更好的展现2019年移动安全对全球的影响。
GooglePlay为全球最大的移动应用平台，也是国外大多用户下载应用的首选平台。虽然Google Play一直致力于打击恶意APP，但根据我们对2019年的数据总结，Google Play也是恶意APP传播的主要途径。恶意软件团伙及个人，在利益的驱使下，通过各种方法混进Google Play进行传播恶意软件，对用户造成了巨大的经济损失。
下面我们通过图文的形式，展示2019年影响较大的国际移动安全事件。

2019年移动恶意软件影响范围：

我们将2019年影响较大的移动安全事件，根据影响区域分为了两类，“无差别地区攻击”与“针对特定地区攻击”。

无差别地区攻击的恶意事件

恶意软件想大规模的传播，Google Play平台无疑是最好的选择，但能否绕过Google Play的安全检测，并成功在Google Play上架并不容易。所以通过对2019年的Google Play主要安全事件统计，我们发现广告流氓软件占据了很大的比例，少量的间谍软件、银行木马也会出现，此外还有挂着正规厂商的越界软件。

推送广告的流氓软件

互联网盛行的今天，广告的收益非常大，这也就促使了很多团伙与个人通过各种手段推送广告获利。国际上对于流氓广告软件，其打击力度非常大，各大安全厂商及Google Play对于APP的审核也相当严格，然而面对海量的APP软件，总会有漏网之鱼。下面我们列举2019年Google Play上发现的影响较大的推送广告的流氓软件事件。

GoolePlay上发现的推送广告的恶意软件，其都是通过仿冒当下热度较高的APP，以及用户用的较多的相机软件、游戏软件等进行诱骗用户下载；其运行方式也基本相同，隐藏自身图标后全屏推送广告。推送广告的流氓软件，对于用户来说是令人讨厌的，但对于广告公司来说是巨大的利润损失。

移动端的广告欺诈问题同样严重，广告欺诈主要针对广告厂商，通过广告堆叠、模拟点击、设备ID重置欺诈、捆绑ID欺诈、SDK欺诈等。目前已经形成了完整的黑色产业链，而每年通过欺诈的方式，黑产团伙可以获得将近1亿美元的收入。

预计到2020年移动广告将占全球广告支出的30.5%，总额将达到1870亿美元，是桌面广告支出880亿美元的两倍多，仅落后电视广告1920亿美元50亿美元，以目前移动互联网的发展速度，超过电视广告也将很快到来。黑产团伙及个人在巨额利益的诱惑下，未来对移动互联网产业的冲击是巨大的。面对越来越复杂的技术，对于安全厂商来说，如何应对这一问题将至关重要。

银行木马软件

相比于广告软件，银行木马危害程度要高很多。这类木马其针对性强，在网络犯罪中非常流行，近年来各类恶意木马层出不穷，其从根本上危害到了用户的个人信息、财产安全。2019年奇安信移动安全团队也时刻关注着这类软件，且对于流行银行木马进行了持续跟踪与分析。
2019年活跃的主要银行木马：

2019年活跃的主要银行木马，除了仿冒银行图标外，仿冒最多的图标：

Android银行木马尤其以Anubis最臭名昭著，Anubis功能异常强大，自身结合了钓鱼、远控、勒索木马等功能，其完全可以作为间谍软件。而且Anubis影响范围很大，可以仿冒全球378个银行及金融机构，目前主要活跃在欧美国家，国内暂时没有发现，奇安信移动安全团队自Anubis爆发以来，一直对其进行追踪，我们通过数据平台监测到Anubis仿冒国际版“抖音”与国际版“PUBG”，并予以披露。

Anubis仿冒图标：

2019年Anubis活动主要时间线：

值得注意的是，2019年Anubis的作者，maza-in被捕，其竟然是前军事人员，maza-in可能将会面临5年的牢狱之灾。但由于Anubis的源码早已公开，所以Anubis的变种以及仿冒Anubis的恶意软件在未来还会给用户财产带来威胁。

2019年Cerberusd的出现并通过其强大的功能，迅速被列入了顶级Android木马威胁的行列。更为有趣的是，Cerberus的作者专门开通了推特账号，在其推特下发布该恶意软件的促销广告，并尝试与其他感兴趣的人沟通，同时发布安全厂商披露Cerberusd的文章，以此进行打趣。

间谍窃密软件

窃密软件以获取用户个人信息为目的，用户个人信息的贩卖同样也是黑产的一部分。相比于银行木马，窃密软件获取的信息更多，在一定程度上给用户造成损失的不止钱财。当攻击者掌握了足够多的用户信息，衍生的犯罪行为也会更多，用户潜在的威胁会更大。但是在数据爆炸的当下，有些数据泄露无法避免，我们只有将危害降低到最低。下面我们盘点下2019年重大的移动间谍窃密事件。

目前窃密类恶意软件多为通过仿冒正规应用程序诱骗用户安装下载，而且其方法技术也在不断的更新，剪贴板窃密、SMS网络钓鱼、结合开源框架等恶意软件，未来随着技术的发展，恶意软件窃密的方法可能会更多。

通过对2019年窃密软件的总结，我们发现通过Google Play进行传播仍然是恶意作者的首选传播方式。然而事实也确实证实了，Google Play的检测确实存在着盲区。这类软件一旦在Google Play上架，影响范围是巨大的，包括中国用户也受到了波及。互联网的开放利弊很明显，当Google Play无法完全过滤恶意软件的时候，当国内用户使用高科技上网的时候，那时候一部分人将直面这类窃密软件，带来的危害可能不止是个人的信息泄露。

包括影响国内用户的Joker窃密软件影响范围：

iOS漏洞

相比于Android，人们一直觉得iOS很安全。诚然iOS拥有比Android更安全的生态圈，有安全性更可靠的保障，但也是相对而言的，当前iOS并没有我们想象中的那么安全。
iOS的安全是建立在苹果公司闭源的操作系统上的，其拥有独立的生态。但近年来一直有黑客团伙利用丰富的漏洞进行攻击，包括APT攻击。

苹果的漏洞，仿佛在2019年都一下子冒了出来，包括历时数年的一次水坑攻击中，总共出现的14个iphone漏洞。这些导致iOS的安全问题在今年被无限放大，为此苹果在12月正式向公众开放了其私人漏洞赏金计划，同时将最高报酬提到了100万美元。

对特定地区攻击的恶意事件

全球共有233个国家和地区，每个国家跟地区使用的语言、生活习惯等都不相同，包括国家与地区之间可能由于种种原因，互有矛盾等。这也就造成了移动端恶意软件的攻击具有地域性。下面我们盘点2019年针对各个地区，比较具有代表性的恶意事件。

本次列举2019年重大恶意事件影响地区：

针对韩国的恶意软件

首先从我们的近邻韩国开始说起，根据我们内部的数据，2019年韩国遭遇的恶意攻击事件众多，最多的为，因黑产而引起的银行木马，这类软件在韩国异常猖獗，且已经持续了多年。2019年我们发现了针对韩国的几类银行木马，对其中的一些也进行过分析披露，我们发现该类木马多为国人编写，后台服务器众多，仿冒的软件涵盖了韩国大部分金融软件。

KBuster：通过仿冒韩国多款银行APP的木马软件，在我们披露时已发现55种，118个在野样本，使用了多达300个服务器用于存放用户信息。
主要伪造的图标：

样本执行流程图：

Google Play上发现韩国公交车应用Bus App系列软件，被黑客利用下发虚假插件，攻击特定目标。
应用信息：

感染流程图：

针对巴基斯坦的恶意软件

由于地区政治的原因，印巴之间一直有冲突，然而在APT攻击之外，2019年我们发现，有监控软件对巴基斯坦地区实施长时间的监控活动。我们将此次活动命名为：克什米尔冲突之针对巴基斯坦的Chenab（奇纳布河）监控活动。

远控指令列表：

针对日本的恶意软件

FunkyBot：针对日本的新型Android恶意软件家族，该类恶意软件会模拟为一家物流公司诱骗用户使用，并窃取用户手机信息上传至恶意服务器。

FunkyBot特殊的地方在于，类似Anubis曾经使用虚假的Telegram和Twitter帐户一样，FunkyBot也会使用社交媒体账号获取其C2，它下载了没有照片的Instagram帐户的网页。然后，提取该帐户的传记字段，并使用Base64对其进行解码。而且根据溯源发现，该软件目前还处于开发测试阶段。

针对波兰、捷克的恶意软件

2019年初，启明星辰ADLab发现了一款全新的Android银行钓鱼木马，命名为BankThief。该类木马主要针对波兰、捷克等数十家银行客户端。
目标银行logo：

攻击流程图：

针对意大利的恶意软件

2019年3月29日，Security Without Borders发现了一个新的Android间谍软件，他们将之命名为“Exodus”。Security Without Borders在Google Play中收集了2016年到2019年初的大量样本，他们发现Exodus是由意大利一家名为eSurv从事视频监控的公司开发的，其在Google Play中伪装为移动运行商的应用程序，页面与诱饵都是意大利语，通过GooglePlay公开的数据显示，最多的一个下载量达到了350个，目前这些软件都已从Google Play中删除。
GooglePlay中下载页面：

针对西班牙的恶意软件

西班牙一直比较受银行木马所青睐，在2019年我们捕获了多起针对西班牙的银行木马事件。其中最多得为Anubis与Gnip。而Gnip为经过Anubis变种而来的。
2019年我们检测到，Anubis通过仿冒为西班牙邮政运营商Correos的恶意软件。
Anubis攻击西班牙载体：

打开推特获取备份C2：

仿冒银行登录页面：

2019年银行木马Ginp针对西班牙与英国的攻击活动，其模仿Adobe Flash Player，滥用辅助功能服务，将其自身设置为默认SMS应用程序，从C＆C服务器获取网络钓鱼注入。

Ginp为Anubis变种，Ginp与Anubis代码对比：

针对澳大利亚的恶意软件

2019年银行木马在国外盛行，澳大利亚也遭到了Gustuff的袭击。Gustuff 多次将目标瞄准澳大利亚，它可以仿冒澳大利亚市场上100多种金融程序及32种加密货币程序，除了可以窃取金融凭证外，还可以自动执行交易。

Gustuff一直在不断更新，2019年早些时候被披露以后，其不断的在更新功能、C2与传播方式。Gustuff在开始的时候通过仿冒银行木马Marcher，在一次次更新后，其代码结构、方法上已完全脱离了Marcher。

Group-IB统计的六月份与十月份域名点击情况：

针对奥地利的恶意软件

2019年我们发现了一款仿冒奥地利“Willhaben”软件的钓鱼木马，其会获取用户信息，并通过短信的方式向用户发送退款链接，从而诱骗用户钱财。

预付款钓鱼页面：

针对埃及的恶意软件

“尼罗河之眼”，2019年3月Check Point发现了针对埃及记者与人权活动者的攻击。其攻击方式新颖，通过“ OAuth网络钓鱼”的技术。通过滥用于Gmail或Outlook等流行邮件服务的第三方应用程序，攻击者操纵了受害者，使他们可以完全访问他们的电子邮件。
入侵流程：

攻击的APK：

针对德国的恶意软件

德国联邦信息安全办公室（BSI）在2019年6月6日发布了安全警告，该国至少有四款只能手机型号的固件种嵌入了后门恶意软件。受影响的型号有DoogeeBL7000，M-HorsePure 1，Keecoo P11和VKworld MixPlus。嵌入的恶意软件为Andr /Xgen2-CY。
该恶意软件收集的信息如下：

针对巴西的恶意软件

2019年我们在巴西发现了仿冒WannaCry勒索软件，该恶意软件在UI上借鉴了WannaCry，功能上除了可以获取用户信息以外，还可以执行DDOS攻击，网络钓鱼等。与国内早期发现的仿冒WannaCry勒索软件的 “王者荣耀辅助”已完全不同。
含有西班牙语的勒索界面：

同样在巴西，发现了“BRATA”远控恶意家族，其专门针对巴西，从一月开始已经通过Google　Play在巴西广泛传播，目前已在Google　Play上发现了２０多种不同的变体。
远控指令及含义：

针对伊朗的恶意软件

伊朗由于各种原因，依然是2019年世界的焦点。2019我们发现有相关间谍软件，仿冒为“کوروشبزرگ!”(居鲁士大帝！)针对伊朗的攻击。此类样本极具有诱惑性，通过普及伊朗一些历史事件，诱骗用户安装使用，目的为窃取伊朗用户个人信息。

指令列表：

其它安全事件

2019年，除了以上具有代表性的针对地区攻击外，还有更多的地区受到其它移动安全事件的影响，其中以“TikTok”、“WhatsApp”、“ToTok”最受关注。
TikTok：海外版抖音。

美国民主党议员Schumer提出抖音海外版TikTok对用户数据处理，会影响美国国家安全，之后美国陆军、海军相继对短视频TikTok展开安全评估，并在军队中禁止使用TikTok。而在年初的时候，该议员还呼吁联邦调查局（FBI）和联邦贸易委员（FTC）开展对俄罗斯人脸编辑照片应用程序FaceApp进行国家安全和隐私调查。其实无论TikTok是否真的收集了敏感数据，从美国的做法中我们可以看出，在面对国家安全的时候谨慎的态度让我们看到了，其对移动安全的重视，对数据安全的重视。

WhatsApp：堪称海外版微信。

WhatsApp指责以色列公司NSO攻击其软件，从而对中东等地的持有不同政见的个人、记者、维权人士进行监控，获取重要数据信息。WhatsApp表示，其经过了半年的调查，发现黑客利用其向约1400部手机发动攻击，窃取宝贵的信息。

ToTok：阿联酋用户最多的通讯应用。

阿联酋，是一个禁用诸如WhatsApp和Skype之类的聊天APP的国家，因此ToTok的出现引领了一股下载风潮。但据熟悉机密情报评估和对该应用程序及其开发者进行调查的美国官员说，ToTok实际上是一种间谍工具。阿拉伯联合酋长国政府使用它来尝试跟踪将其安装在手机上的人们的每一次对话，动向，关系，约会，声音和图像。

智能手机已经发展了十多年，移动威胁产生的时间与其差不多，智能手机目前已经嵌入到了我们的生活，从最初的供给面到现在的多平台攻击，包括平板电脑、手机、电视、医疗设备等，未来还有物联网，威胁与日俱增。同样的智能手机的发展，为一些黑客组织、个人提供了完美的平台。在未来针对地区的攻击会越多，我们面对的威胁也会更多。

第二章 2019年各地移动APT事件总结

2019年世界依旧不太平，在表面平静的背后是暗流涌动。大规模军事冲突不会发生的当下，因利益，政治，宗教等问题依然会有局部战争。其中尤其以中东问题最为突出，更多关于APT组织的相关信息，请关注奇安信威胁情报中心，红雨滴团队GitHub的APT_Digital_Weapon资料库：
https://github.com/RedDrip7/APT_Digital_Weapon
下面我们盘点2019年移动端APT攻击事件。

KONNI

事件概括：

2019年8月，韩国安全厂商ESTsecurity披露了KONNI APT组织使用Android端木马的新攻击活动，并称其与APT组织Kimsuky存在关联。

11月奇安信威胁情报中心红雨滴团队在日常的高级威胁监测过程中，发现多起疑似针对韩国地区Android用户的恶意代码攻击活动。攻击者通过将恶意安卓应用伪装成韩国常用移动应用，从而诱导受害者安装使用。经关联分析，我们发现此次攻击活动无论从攻击手法还是木马框架都与ESTsecurity披露的KONNI Android木马一致。

该软件主要通过短信投递的方式，主要功能为：窃取上传用户手机的一些机密信息，包括通信录、短信记录、APP安装记录、sd卡目录以及在用户手机上采集到的录音信息等。