支付宝木马安卓短信窃取者分析

前言

最近关于”点了一条短信 银行卡被盗刷好几千”之类的银行卡盗刷、各类理财账号被莫名转账等新闻越来越多。在这些案例中，非常多受害者都提到手机、验证码等关键词。是的，当前智能手机接收验证码用于更改密码、转账等操作，已经被用在各种产品中。如果这类重要短信被黑客偷偷上传并利用，后果不甚设想，很可能就会成为上面新闻报道的案例。
下文就分析这样一个针对支付宝用户的木马App, 它伪装成安全软件，运行时会窃取各类重要短信并上传到指定服务器。

以下内容翻译、整理自https://www.zscaler.com/blogs/research/fake-security-app-alipay-customers-android-sms-stealer

伪装成支付宝安全控件的木马App
应用名：安全控件
Md5 : fad55b4432ed9eeb5d7426c55681586c
包名 : com.bing.receive**

此木马起名”安全控件”并使用支付宝应用图标，使受害者误认为它是一个用于增强支付宝安全的应用。运行之后，木马会隐藏自身图标。同时，木马会注册多个services, 正是这些services窃取短信，并发送到命令&控制(C&C)服务器。

技术细节分析

安装之后，此木马看起来就像是阿里系的应用

一旦受害者点击运行之后，将出现一个引导页面。3秒