Vultur 安卓银行木马“卷土重来”，新增远程控制功能
内容提要
NCC集团的研究人员发现了Android银行木马Vultur的重新出现，该木马增加了加密通信、加密负载和使用合法应用程序作为掩护等新功能。该木马通过Google Play商店传播，伪装成身份验证应用或生产力应用。它可以远程控制受感染设备并收集敏感数据。此外，Octo Android银行木马已转变为一种恶意软件即服务业务，提供信息盗窃服务。它通过注入窃取密码和登录凭据，并通过VNC获得对设备的远程访问。这些恶意软件已感染数万台设备，目标是银行和其他机密信息。
延伸解读
Vultur 的演变：从窃取到全面控制
Vultur 最初于 2021 年初被披露，当时主要利用安卓的可访问性服务 API 执行恶意行动。此次重新出现，其重点已转向最大限度地实现对受感染设备的远程控制。新增的加密 C2 通信、多加密有效载荷以及合法应用伪装，都是为了更隐蔽地获取设备的完全控制权。研究人员指出，Vultur 能发出滚动、轻扫、点击、音量控制等指令，甚至集成文件管理器功能，表明其目标已从单纯的数据窃取升级为对设备的实时操控。
传播策略：利用信任与紧迫感
Vultur 通过 Google Play 商店传播，伪装成身份验证器或生产力应用，这些应用是“Brunhilda”插件即服务的一部分。另一种攻击链采用面向电话的攻击交付（TOAD），通过短信和电话组合诱导受害者。第一条短信引导受害者拨打电话，随后欺诈者发送包含恶意链接的第二条短信，并制造涉及大额资金的虚假紧迫感。这种利用合法平台和社交工程的手段，显著降低了用户的警惕性。
Octo 的 MaaS 模式：降低攻击门槛
Octo（又名 Coper）安卓银行木马已转型为恶意软件即服务（MaaS），向其他威胁行为者提供信息窃取服务。它通过恶意 APK 包分发，冒充在线预订、计费和快递服务，并利用注入程序显示伪造屏幕或覆盖层来窃取密码和登录凭证。此外，Octo 还利用 VNC 远程访问设备，增强监控能力。据统计，Octo 已入侵至少 4.5 万台设备，主要分布在葡萄牙、西班牙、土耳其、美国等地。这种模式使得即使技术能力有限的攻击者也能发起复杂的银行木马攻击。
感染规模与目标：数据背后的威胁
麦克菲实验室进一步研究发现，Octo 已被嵌入到 800 多个应用程序中，超过 3700 台安卓设备被入侵。该恶意软件由名为 Elvia Infotech 的印度网络组织开发。骗子通常通过电话、短信、电子邮件或社交应用联系受害者，谎称需要重新安排银行账户服务，诱导其下载特定应用并提交个人信息。一旦信息泄露，攻击者便可轻松从受害者银行账户中窃取资金。这些数据表明，安卓银行木马的威胁范围正在扩大，且攻击手法日益精细化。
Q&A
Vultur安卓银行木马的新功能有哪些？
Vultur新增了加密通信、加密负载和使用合法应用程序伪装等功能。
Vultur是如何传播的？
Vultur通过Google Play商店传播，伪装成身份验证应用或生产力应用，诱导用户安装。
Vultur木马对受感染设备能做什么？
Vultur能够远程控制设备，执行点击、滚动、下载和删除文件等操作，甚至禁用键盘防护。
Octo安卓银行木马的特点是什么？
Octo已转型为恶意软件即服务，提供信息盗窃服务，并通过注入程序窃取密码和登录凭据。
Vultur和Octo木马的感染情况如何？
Vultur和Octo已感染数万台设备，Octo至少入侵了4.5万台设备，主要分布在多个国家。
骗子是如何诱导受害者下载恶意应用的？
骗子通过电话、短信等方式联系受害者，诱导其下载特定应用程序并提交个人信息。
