伪造的谷歌reCAPTCHA用来隐藏Android银行恶意软件

研究人员记录了最近针对网上银行用户的一场网络钓鱼运动，他们伪装成谷歌，企图窃取有价值的信誉。

据苏库里的网络安全研究人员称，针对一家波兰银行及其用户的攻击浪潮，是在模仿谷歌的reCAPTcha系统和引发恐慌的技术，促使受害者点击隐藏在欺诈邮件中的恶意链接。

所讨论的电子邮件包含对最近交易的假确认，以及指向恶意.php文件的链接。

发送到将成为受害者的消息要求他们通过点击链接来“验证”这些不存在的事务。

这种攻击方法没有什么新鲜事，但是下一个阶段有些不寻常。如果受害者未能意识到该消息是假的并且点击链接，则它们不会被发送到银行的标准伪造副本，而是PHP文件用于伪造404错误页。

该页面有许多专门定义的用户代理，这些用户代理仅限于GoogleCrawler。如果请求不是GoogleCrawler相关的，换句话说，备用搜索引擎正在使用--然后PHP脚本将加载由JavaScript和静态HTML组成的伪造的GoogleRECAPTCHA。

研究人员说：“这个页面在复制谷歌的reCAPTCHA外观方面做得不错，但由于它依赖于静态元素，除非恶意PHP文件的编码被改变，否则图像总是一样的。”“它也不支持音频重播，不像真正的版本。”

然后重新检查浏览器代理，以确定受害者如何访问页面。A.Zip滴管是在提供的，旁边是恶意的。APK为在CAPTCHA中填写并下载有效负载的Android用户保留。

恶意软件的样本已上载到Vizrustal。恶意软件在其Android表单中经常被发现，并且能够读取移动设备的状态、位置和联系人；扫描和发送SMS消息、进行电话呼叫、记录音频和窃取其他敏感信息。

特洛伊木马程序被检测为银行家、Bankbot、EVO-Gen、Artemis和更多的防病毒软件。

TechRepublic：导致最严重的员工数据违规的5个工作场所技术

今年1月，TrendMicro的研究人员发现了一个有趣的活动，涉及AnubisBanking特洛伊木马。该团队在GooglePlayStore（GooglePlayStore）、货币转换器（货币转换器）和节电器（PowerSaver）中找到了两个应用程序，这些应用程序充满了恶意软件，而恶意软件只会在用户移动设备时触发。

通过使用运动传感器数据作为执行的催化剂，特洛伊木马试图阻止研究人员利用沙箱环境进行发现。