揭秘黑客是如何偷偷转掉你银行卡里钱的 _黑客

现在的网上银行很方便，你可以在手机App上随时访问你的银行账户，进行转账、支付账单、核实余额。与普通的网上银行客户一样，网络犯罪分子也通过各种诈骗手段从网上银行中牟取非法利益。
这些网络骗子们使用各种复杂的社会工程技术，以网上银行用户为目标，窃取银行证书。网络钓鱼是攻击者最常用的攻击手段之一。
然而，目前仅仅靠单纯的网络钓鱼攻击并不足以进行欺诈，大多数银行都已实施了双因素认证(2FA)，来防止未经认证的登录和转账。不过道高一尺魔高一丈，黑客组织往往研究的更加深入，他们开始千方百计的窃取OTP(一次性密码)来绕过2FA 。
最近，在网络发现了一个类似的网络钓鱼活动，目标是某国际大银行。这一活动背后的黑客组织从钓鱼攻击开始，然后诱骗用户安装恶意的Android软件，试图从受感染的设备中自动获取OTP 。
这个最近被识别出的钓鱼网站模仿成该国际大银行，通过对每笔交易提供较低的费率，诱使受害者提交银行凭证。下面是这些使用网络钓鱼攻击来获取证书和OTP的恶意网站。
•hxxps://formullir-tarlf[.]com/NAS_BRI_TARIF_UPDATE9999
• hxxps://britarif[.]ftml.my.id
• hxxps://layanan[.]sch.id
• hxxps://perubahan.tarif-layananbri[.]my.id

文章插图

除了上述的钓鱼网站，还发现了另外8个与该黑客组织相关的钓鱼网站，通过这些网站可以下载SMS Stealer Android恶意软件，然后后会从受害者的设备上窃取OTP 。
【揭秘黑客是如何偷偷转掉你银行卡里钱的】•hxxps: / / skematrf-login [] apk-ind.com
•hxxps: / / brimo-login-id.apk-ind 。com
•hxxps: / /
brimo-login-ind.apk-online 。com
•hxxps: / / login-bri-ib [] apk-ind.com
•hxxps: / / id-bri-login [] apk-online.com
•hxxps: / / id-login-brimo [] apk-ind.com
•hxxps: / / id-login-brimo [] apk-online.com
•hxxps: / / login-brimo-tarif 。com
所有这些恶意网站都使用相同的网络钓鱼技术来获取证书。在一开始，恶意网站要求用户选择收费选项、登录凭证和6位网络银行PIN，但不提示用户输入OTP，如下图所示

文章插图

在提交登录凭据和密码后，钓鱼网站会提示受害者下载并安装APK文件以继续此过程。一旦受害者点击“下载”按钮，恶意网站下载短信窃取APK，如下图所示

文章插图

进一步的调查显示，钓鱼网站下载了两个不同的APK文件来窃取OTP 。黑客还试图使用SMSeye创建了一个定制的短信窃取程序，SMSeye是一个开源的android恶意软件，用于窃取OTP 。下面的技术分析部分将解释这两种SMS窃取器的详细分析。
技术分析：
定制短信窃取器的技术分析
APK Metadata Information
• App Name: Brimo
• Package Name: com.ngscript.smstest
• SHA256 Hash: 75b0d191544f1e96f9bdec94df3556aa7db1808f0f2e194f6a882154857d0 384

文章插图

恶意软件使用银行应用程序的图标诱骗用户并诱使受害者相信从恶意网站下载的应用程序是正常官方软件
该短信窃取程序通过钓鱼网站传播感染 hxxps://id-br -login[.]apk-online.com/download[.]php
安装后，恶意应用程序提示受害者授予SMS权限
然后将一个真正的BRI站点加载到WebView中，如下图所示。

文章插图

同时，恶意软件在后台收集设备的基本信息，如设备名称、型号等，并将这些信息发送给命令控制服务器

文章插图

恶意软件在清单文件中注册了一个短信接收器。当被感染的设备收到短信时，恶意软件会收集收到的短信并将其发送到C&C服务器hxxps://ionicio[.]com
有趣的是，在另一个恶意软件的逆向分析过程中，也发现了相同的C&C服务器，该活动安装了恶意的NPM模块，从嵌入在移动应用程序和网站中的表单中获取敏感数据。这说明TA不仅依赖于网络钓鱼攻击，还会关注不同的平台进行其他恶意活动