Mandrake间谍软件再次潜入Google Play长达两年之久
内容提要
Bitdefender和Kaspersky的研究人员在Google Play上发现了Android间谍软件Mandrake的新版本。该间谍软件自2016年以来一直活跃，并已被下载超过32,000次。它使用先进的混淆技术来避免被检测，并与其命令和控制服务器进行安全通信。该间谍软件能够窃取用户凭据并执行各种恶意操作。研究人员认为，这个间谍软件背后的威胁行为者与Bitdefender之前的报告中描述的威胁行为者相同。
延伸解读
Mandrake的长期潜伏与检测挑战
Mandrake新变种在Google Play上潜伏了两年，下载量超过3.2万次，却未被其他安全供应商发现。这凸显了其高级混淆和规避技术的有效性，尤其是将恶意功能转移到OLLVM混淆的本地库中，增加了静态和动态分析的难度。对于安全团队而言，仅依赖应用商店的审核机制可能不足，需要结合行为监控和网络流量分析来识别此类威胁。
攻击者的反分析策略与应对
Mandrake采用了多种反分析技术，包括Frida检测、root设备检查、模拟环境识别等，以阻止安全研究人员分析。例如，它会计算库的CRC并定期检查内存变化，一旦发现Frida等工具便终止执行。这些措施表明攻击者具有较高的技术能力，安全研究人员需要更隐蔽的分析手段，如定制化沙盒或硬件级监控，以绕过这些检测。
C2通信的隐蔽性与数据窃取
Mandrake使用证书绑定保护C2通信，防止SSL流量嗅探，并通过自定义的JSON-like序列化格式传输数据。其核心目标是窃取用户凭据，并通过VNC流、屏幕记录等方式监控用户操作。这种设计使得网络检测变得困难，但研究人员仍可通过本地存储的加密数据包分析通信内容。企业应加强对异常网络连接的监控，尤其是与已知恶意IP或域名的通信。
对应用商店安全生态的启示
Mandrake的案例表明，即使是在官方应用商店，高级威胁也能长期潜伏。攻击者通过伪装成实用工具、游戏等应用，利用用户信任进行传播。这要求应用商店不仅要在上架时进行严格审核，还需持续监控应用行为，及时下架恶意应用。同时，用户应保持警惕，注意应用权限和异常行为，如不必要的覆盖权限或后台活动。
Q&A
Mandrake间谍软件的主要功能是什么？
Mandrake间谍软件主要功能是窃取用户凭据并执行各种恶意操作。
Mandrake间谍软件是如何避免被检测的？
Mandrake使用高级混淆技术、沙盒规避和环境检查来避免被检测。
Mandrake间谍软件在Google Play上存在多久了？
Mandrake间谍软件在Google Play上低调潜伏了两年。
研究人员对Mandrake间谍软件的看法是什么？
研究人员认为Mandrake的威胁行为者与之前报告中描述的相同，显示出强大的技能。
Mandrake间谍软件的下载量有多少？
Mandrake间谍软件已被下载超过32,000次。
Mandrake间谍软件是如何与命令和控制服务器通信的？
Mandrake通过加密证书保护的C2通信进行安全通信，使用自定义的JSON-like序列化格式。
