Zimperium 的安全专家发现了一种伪装成系统更新程序传播的安卓恶意软件。

恶意软件会收集系统数据、短信消息和相册图片等信息。攻击者可以利用恶意软件进行录音、录像、查看浏览器历史记录、访问WhatsApp消息。

该恶意软件功能十分复杂，可以当作为远控来接受并执行命令，可以收集泄露用户数据进行恶意行为，对安卓设备构成了极大的威胁。

Zimperium在与Google取得联系后，证实该恶意软件未在Google Play上发布。

如果从第三方渠道下载安装了该应用程序，恶意软件会在Firebase C&C服务器上进行注册，上传显示设备电池电量、存储信息、WhatsApp信息等，攻击者以加密ZIP文件的形式从失陷主机中获取数据。

该恶意软件通过 Firebase 消息服务接收命令，比如启动麦克风开始录音等。数据通过 POST 请求回传到专用 C&C 服务器。该恶意软件支持以下命令：

为了隐藏自身，该恶意软件尽量不留下任何痕迹。在收到来自 C&C 服务器确认收到的消息后会立刻删除所有窃密信息和文件，并且显著减少对网络的消耗。比较少见的是，该恶意软件还会窃取视频和图片的缩略图。

IOC

1. 96de80ed5ff6ac9faa1b3a2b0d67cee8259fda9f6ad79841c341b1c3087e4c92
2. 6301e2673e7495ebdfd34fe51792e97c0ac01221a53219424973d851e7a2ac93
3. https://mypro-b3435.firebaseio.com
4. https://licences.website/backendNew/public/api/

参考来源

Zimperium

SecurityAffairs