警惕！“微信支付大盜”病毒來襲

果殼醬

近日，獵豹移動(dòng)安全實(shí)驗(yàn)室捕獲到一類高度危險(xiǎn)的，盜取微信支付資金類的手機(jī)病毒，多款手機(jī)ROM和APP中均捆綁了該病毒。中毒后，微信帳號(hào)隨即被盜，嚴(yán)重威脅微信錢包及微信支付所關(guān)聯(lián)的銀行卡資金安全，目前已有上千名用戶中招。
據(jù)某中招用戶回述：
前幾個(gè)月將手機(jī)進(jìn)行了刷機(jī)。12月11日，突然彈出一個(gè)提示框，顯示微信未登錄，登陸后就繼續(xù)玩游戲沒管。晚上發(fā)現(xiàn)手機(jī)已死機(jī)，第二天重刷后發(fā)現(xiàn)微信被盜。然后直接申訴找回，發(fā)現(xiàn)綁定的qq和手機(jī)全被解除，綁定微信的一張建設(shè)銀行儲(chǔ)蓄卡里面8330被消費(fèi)完了。聯(lián)系微信客服后，對(duì)方回應(yīng)無法賠付。
那么，病毒是如何實(shí)現(xiàn)盜號(hào)，又如何將錢財(cái)一掃而空？
讓我們一探究竟！
病毒原理分析：
經(jīng)獵豹移動(dòng)安全實(shí)驗(yàn)室分析發(fā)現(xiàn)：原來，該微信盜號(hào)木馬暗藏于魚龍混雜的各類第三方定制ROM和APP中，偽裝為安卓系統(tǒng)服務(wù)模塊，通過彈出偽造的微信登錄和支付的釣魚界面，獲得用戶的登錄密碼以及支付密碼后，再通過監(jiān)控用戶短信等手段，遠(yuǎn)程竊取微信支付綁定的銀行卡余額。
以其中的一個(gè)病毒樣本timesync.apk為例，病毒通過注冊(cè)BootBroadcastReceiver實(shí)現(xiàn)自啟動(dòng)服務(wù)，主要的惡意功能包括上報(bào)用戶短信、劫持微信釣魚、上傳微信數(shù)據(jù)、卸載微信、摧毀系統(tǒng)等。
構(gòu)造偽造的微信消息框:

登錄/注冊(cè)后可看大圖

1，監(jiān)控頂層的Activity，啟動(dòng)劫持微信APP的釣魚界面，誘騙用戶登錄、輸入支付密碼。

登錄/注冊(cè)后可看大圖

即當(dāng)病毒運(yùn)行后，會(huì)彈出一個(gè)消息框，提示微信登錄過期，建議用戶重新登錄。

登錄/注冊(cè)后可看大圖

點(diǎn)擊登陸后，會(huì)誘騙用戶輸入微信賬號(hào)和登陸密碼。
偽造騙取微信賬號(hào)和登錄密碼的界面：

登錄/注冊(cè)后可看大圖

大部分用戶會(huì)不加思索地填寫自己的微信帳號(hào)和密碼，此時(shí)，病毒將會(huì)迅速將該信息發(fā)送到攻擊者的服務(wù)器。但這并沒完，病毒會(huì)緊接著索取微信支付密碼。（在你并沒有進(jìn)行正常消費(fèi)支付操作時(shí)，就要求你輸入支付密碼，這不是很奇怪嗎？）
偽造騙取微信支付密碼的界面：

登錄/注冊(cè)后可看大圖

2，打包上報(bào)用戶短信，并監(jiān)聽用戶短信收發(fā)。

登錄/注冊(cè)后可看大圖

至此，這個(gè)微信盜號(hào)木馬已經(jīng)順利得到受害者的微信帳號(hào)、登錄密碼和支付密碼。當(dāng)小偷在其他設(shè)備登錄受害者微信時(shí)，微信的安全功能會(huì)要求提供手機(jī)短信驗(yàn)證碼驗(yàn)證登錄者身份。此時(shí)驗(yàn)證碼會(huì)同樣被病毒上傳，小偷得以順利登錄受害者的微信帳號(hào)。接下來，就是小偷大肆揮霍盜竊的時(shí)間。
微信錢包里所有可以利用的資金，均有可能被盜。包括：微信零錢、轉(zhuǎn)帳、紅包、京東購物、城市服務(wù)、水電費(fèi)、微粒貸（假如該帳戶有權(quán)限申請(qǐng)貸款的話）等等。獵豹移動(dòng)安全實(shí)驗(yàn)室已注意到有受害者損失近萬元。


盜取賬號(hào)后轉(zhuǎn)賬的截圖

登錄/注冊(cè)后可看大圖

3、打包上傳用戶微信安裝目錄的數(shù)據(jù)，可通過分析用戶數(shù)據(jù)，替換數(shù)據(jù)文件登錄繞過部分安全風(fēng)控限制。

登錄/注冊(cè)后可看大圖

4、從遠(yuǎn)程服務(wù)器輪詢控制命令并執(zhí)行，包括開關(guān)設(shè)置、短信監(jiān)控、微信卸載、系統(tǒng)摧毀、數(shù)據(jù)上報(bào)等。

登錄/注冊(cè)后可看大圖

登錄/注冊(cè)后可看大圖

5、在用戶桌面創(chuàng)建虛假快捷方式。

登錄/注冊(cè)后可看大圖

病毒傳播渠道
獵豹移動(dòng)安全專家緊急提醒網(wǎng)民高度警惕這個(gè)專門針對(duì)微信的盜號(hào)木馬，一旦中招，后果十分嚴(yán)重。該病毒感染后，還會(huì)申請(qǐng)ROOT權(quán)限，假如受害者已將手機(jī)ROOT，而后又錯(cuò)誤地將ROOT權(quán)限分配給病毒程序，就需要通過刷機(jī)來徹底清除病毒。

獵豹移動(dòng)安全實(shí)驗(yàn)室監(jiān)測(cè)到這個(gè)仿冒微信的盜號(hào)木馬會(huì)通過若干個(gè)墻紙應(yīng)用、一鍵轉(zhuǎn)移應(yīng)用到SD卡、Google應(yīng)用下載器、一鍵卸載大師等傳播，在部分非官方刷機(jī)包中也有植入。

微信消息頻繁的用戶受害概率較低，如果你正在使用微信，你的帳戶在其他設(shè)備登錄時(shí)，會(huì)收到安全警告提醒。如果是web微信，會(huì)立刻被踢下線。

登錄/注冊(cè)后可看大圖

如何防范：
1 、該微信盜號(hào)木馬的傳播渠道可能來自山寨APP，也可能來自于非官方的刷機(jī)包。特別建議安卓用戶不要輕易嘗試非官方刷機(jī)包，盡可能不要ROOT安卓手機(jī)，選擇可靠的應(yīng)用市場(chǎng)或者官網(wǎng)下載軟件，不從任何短信中點(diǎn)擊鏈接下載軟件；

2 、除非自己正在使用微信支付，否則不要在任何程序窗口中提供自己的微信支付密碼。如果你不簡(jiǎn)單填寫支付密碼，小偷要破解微信支付密碼，需要費(fèi)一番功夫，小偷不會(huì)輕易得手；

3 、如果你已經(jīng)發(fā)現(xiàn)自己微信帳號(hào)資金被盜，請(qǐng)先聯(lián)系微信官方客服申請(qǐng)凍結(jié)賬號(hào)（首頁 - 110反詐騙中心），再聯(lián)系警方報(bào)案處理；

4、安裝獵豹安全大師或其他手機(jī)殺毒軟件防止手機(jī)中毒。
獵豹安全大師攔截木馬截圖：

登錄/注冊(cè)后可看大圖

-----------------------------

玫瑰48

iOS表示無懼。。

安于心

“多款手機(jī)ROM”
引人入勝啊

朱丫

其實(shí)IOS也可以做到，只是暫時(shí)還沒人去做

靜靜心

Nexus用原生安卓，Googleplay無壓力~

珠兒

傳播途徑就是不正規(guī)第三方應(yīng)用市場(chǎng)

阿利亞亞

蘋果系統(tǒng)電腦 及 蘋果手機(jī)會(huì)受影響嗎？