能直接從賬戶盜走錢財(cái)?shù)你y行木馬，一直被稱為是惡意軟件中最邪惡的一種。近日，360安全大腦獨(dú)家發(fā)布《深度揭露Anubis移動(dòng)銀行木馬》報(bào)告，全面披露了近期瞄準(zhǔn)全球300多國(guó)家銀行機(jī)構(gòu)，且來勢(shì)洶洶的Anubis銀行木馬，以及其背后隱藏的高危木馬制作網(wǎng)站。
報(bào)告顯示，2020年1月至今，360安全大腦共捕獲6000多個(gè)Anubis家族相關(guān)樣本，偽裝成全球300多家金融機(jī)構(gòu)在線釣魚。同時(shí)，Anubis銀行木馬背后隱藏的惡意軟件制作網(wǎng)站，極大地降低了該木馬的準(zhǔn)入門檻，威脅十分嚴(yán)峻。
Anubis銀行木馬竟然支持diy？
360安全大腦揭破“制作黑窩點(diǎn)”
不同以往病毒木馬的單純泛濫，此次Anubis銀行木馬危機(jī)再臨，還帶來了更危險(xiǎn)的無門檻式Anubis木馬制作網(wǎng)站。
從360安全大腦監(jiān)測(cè)數(shù)據(jù)來看，1月起既已開始活躍的Anubis銀行木馬背后，涉及2個(gè)公開木馬制作打包網(wǎng)站。網(wǎng)站展示界面雖不同，但域名均為同一IP，且使用方法也基本一致。
即使是技術(shù)小白，也可根據(jù)提示填寫相關(guān)配置，制作自己的Anubis銀行木馬，甚至可以直接根據(jù)網(wǎng)上泄露的后端代碼，成為Anubis銀行木馬運(yùn)營(yíng)者。
接下來，360安全大腦進(jìn)一步對(duì)網(wǎng)站進(jìn)行分析，發(fā)現(xiàn)該網(wǎng)站可提供大量圖標(biāo)用以偽裝木馬。制作者不僅可以根據(jù)網(wǎng)站現(xiàn)有素材，將銀行木馬偽裝成Flash播放器應(yīng)用程序、系統(tǒng)工具應(yīng)用、加密貨幣應(yīng)用、圖像處理應(yīng)用和游戲等相關(guān)應(yīng)用，還可以根據(jù)自己的需求，通過網(wǎng)站的自定義圖標(biāo)功能，上傳任意偽裝圖標(biāo)，提高木馬偽裝的多樣性。
而在分析兩個(gè)網(wǎng)站制作木馬的流程時(shí)，360安全大腦發(fā)現(xiàn)兩網(wǎng)站分別使用了不同的制作方法。其中一個(gè)網(wǎng)站使用Anubis反編譯后的smali代碼，另一個(gè)網(wǎng)站則直接使用Anubis的源代碼。在此必須一提的是，第二種制作方法的出現(xiàn)，說明Anubis應(yīng)用程序源碼不僅早已泄露，且已被不法黑客利用。
26項(xiàng)高危代碼“無所不能”
甚至暗藏免殺代碼
緊接著，在分析網(wǎng)站Anubis應(yīng)用源碼后，360安全大腦發(fā)現(xiàn)其代碼結(jié)構(gòu)清晰且注釋完整。在受控端源碼部分，下圖顯示的Anubis配置相關(guān)代碼，就使用了尖括號(hào)包含的字符串，并與網(wǎng)站提供的選項(xiàng)一致。
值得注意的是，在Anubis 銀行木馬惡意代碼的具體功能上，竟高達(dá)26個(gè)項(xiàng)目。360安全大腦驗(yàn)證后，確定涉及啟動(dòng)指定應(yīng)用程序、獲取所有申請(qǐng)的權(quán)限、獲取鍵盤記錄、顯示指定內(nèi)容對(duì)話框、推送指定內(nèi)容的通知、獲取所有聯(lián)系人號(hào)碼、向所有聯(lián)系人發(fā)送短信、請(qǐng)求訪問數(shù)據(jù)的權(quán)限、請(qǐng)求權(quán)限以確定設(shè)備的位置等高危行為，可謂破壞力十足。
除了上述惡意功能外，360安全大腦還在該網(wǎng)站上還發(fā)現(xiàn)了一份加固代碼，該代碼起到保護(hù)Anubis銀行木馬的作用，使其擁有免殺能力，避開殺毒軟件的攔截查殺。
最后，在Anubis銀行木馬的控制端源碼上，還擁有控制面板和釣魚功能。鑒于其代碼在2019年既已泄露，且配有詳細(xì)的使用教程，也就意味著任何人都可以利用該源碼創(chuàng)建Anubis銀行木馬的后臺(tái)系統(tǒng)，并基于該代碼添加其他釣魚頁面。
瞄準(zhǔn)金融機(jī)構(gòu)在線釣魚
疫情地區(qū)或成木馬“高熱目標(biāo)”
除了極為繁復(fù)的惡意功能外，360安全大腦還在Anubis銀行木馬控制端源碼中，發(fā)現(xiàn)了大量的金融應(yīng)用圖標(biāo)以及對(duì)應(yīng)釣魚網(wǎng)站源碼，具體涉及全球各地300多家金融機(jī)構(gòu)。
部分金融機(jī)構(gòu)應(yīng)用圖標(biāo)：
經(jīng)360安全大腦分析指出，Anubis銀行木馬控制端源碼中涉及的金融機(jī)構(gòu)，主要分布在歐洲、亞洲和北美的20多個(gè)國(guó)家/地區(qū)，其中涉及歐洲國(guó)家數(shù)量較多。
報(bào)告中，360安全大腦還披露了Anubis控制端代碼釣魚網(wǎng)站數(shù)量最多的前10個(gè)國(guó)家/地區(qū)，其中波蘭涉及釣魚網(wǎng)站數(shù)量最多，土耳其、德國(guó)緊隨其后，具體數(shù)據(jù)如下圖所示：
在Anubis銀行木馬總量上，2020年1月至今，360安全大腦共捕獲6000多個(gè)Anubis家族相關(guān)樣本，且在涉及的大量偽裝對(duì)象來上看，F(xiàn)lashPlayer出現(xiàn)頻率最高，是Anubis銀行木馬偽裝最多的對(duì)象。
值得強(qiáng)調(diào)的是，在利用金融機(jī)構(gòu)釣魚偽裝FlashPlayer等工具傳播外，360安全大腦還發(fā)現(xiàn)了多起利用代碼托管服務(wù)平臺(tái)Bitbucket，傳播偽裝成新冠肺炎相關(guān)應(yīng)用的Anubis銀行木馬?？傮w來看，偽裝新冠肺炎相關(guān)應(yīng)用的木馬雖仍處于測(cè)試階段，但不排除未來瞄準(zhǔn)新冠肺炎爆發(fā)嚴(yán)重地區(qū)的可能。
門檻走低恐殃及全球金融業(yè)
360安全大腦持續(xù)護(hù)航移動(dòng)安全
作為一款始于2016風(fēng)靡2017，幾經(jīng)迭代并在2019年泄露后端代碼的銀行木馬家族，Anubis同時(shí)兼具了功能強(qiáng)大、使用門檻低等多重特質(zhì)，而在此次制作網(wǎng)站出現(xiàn)后，無疑將進(jìn)一步大幅度降低該銀行木馬的使用門檻，危及國(guó)內(nèi)外金融行業(yè)。而360安全大腦作為網(wǎng)絡(luò)空間雷達(dá)防御系統(tǒng)，將繼續(xù)關(guān)注Anubis銀行木馬相關(guān)動(dòng)態(tài)，持續(xù)為全面守護(hù)移動(dòng)互聯(lián)網(wǎng)安全貢獻(xiàn)力量。
同時(shí)，針對(duì)日漸增長(zhǎng)的Anubis銀行木馬攻擊態(tài)勢(shì)，360安全大腦建議各位用戶：
1、注意避免瀏覽未知來源的網(wǎng)頁，不要隨意點(diǎn)擊廣告、短信、電子郵件內(nèi)的下載鏈接；
2、切勿輕易下載未知來源的應(yīng)用軟件，并謹(jǐn)慎授權(quán)；
3、下載金融、疫情相關(guān)軟件時(shí)，請(qǐng)認(rèn)準(zhǔn)政府或權(quán)威機(jī)構(gòu)來源；
4、前往正規(guī)手機(jī)應(yīng)用市場(chǎng)下載安裝應(yīng)用，有效規(guī)避中招風(fēng)險(xiǎn)。
360烽火實(shí)驗(yàn)室簡(jiǎn)介
作為全球頂級(jí)移動(dòng)安全生態(tài)實(shí)驗(yàn)室，致力于Android病毒分析、移動(dòng)黑產(chǎn)研究、移動(dòng)威脅預(yù)警以及Android漏洞挖掘等移動(dòng)安全領(lǐng)域及Android安全生態(tài)的深度研究，已全球首發(fā)多篇具備國(guó)際影響力的Android木馬分析報(bào)和Android木馬黑色產(chǎn)業(yè)鏈研究報(bào)告。
實(shí)驗(yàn)室在為360手機(jī)衛(wèi)士、360手機(jī)急救箱、360手機(jī)助手等產(chǎn)品提供核心安全數(shù)據(jù)和頑固木馬清除解決方案的同時(shí)，也為上百家國(guó)內(nèi)外廠商、應(yīng)用商店等合作伙伴提供了移動(dòng)應(yīng)用安全檢測(cè)服務(wù)，全方位守護(hù)移動(dòng)安全。
