【安全圈】Android 遠控木馬 Fantasy Hub 以 MaaS 形式售賣

關鍵詞

惡意軟件

安全研究人員近日披露了一款名為 Fantasy Hub 的安卓遠程訪問木馬（RAT），該惡意軟件以 Malware-as-a-Service（MaaS，即惡意軟件即服務）形式在俄語系的 Telegram 頻道上出售，功能覆蓋從短信攔截到攝像頭實時流媒體，目標直指個人與企業移動設備的全面控制與竊密。該項目由出售方通過自動化 bot 提供訂閱與打包生成服務，能夠將任意合法 APK 注入惡意負載后返回“木馬化”版本，輔以使用說明與演示視頻，顯著降低了新手攻擊者的入門門檻，這一發現由 zLabs（Zimperium）研究團隊公開并被多家安全媒體跟進報道。

從技術實現上看，Fantasy Hub 采用了多條成熟且危險的攻擊鏈。其傳播偽裝手法通常是假扮為 Google Play 更新或其他看似可信的應用安裝包，利用社會工程誘導用戶安裝后通過 post-install 鉤子加載真正的惡意模塊。更關鍵的是，木馬鼓勵或引導受害者將其設為默認短信處理程序，從而一次性獲取包括短信讀取、聯系人、文件、攝像頭與麥克風等在內的一攬子敏感權限。借助這些權限，攻擊者可以攔截并讀取一次性驗證碼（SMS 2FA）、偽造或刪除通知、抓取通話記錄與多媒體文件，甚至通過 WebRTC 實現實時音視頻竊聽與監控。該軟件還集成了偽裝銀行登錄窗口（overlay）以捕捉銀行憑證，顯然將金融欺詐作為重要用途之一。

商業模式方面，Fantasy Hub 以訂閱制出售，支持按周、按月、按年計費，并提供面向單一活躍會話的許可與所謂的“構建器”權限，售價區間與具體報價在不同廣告中有所披露，服務端（C2）面板可顯示被攻陷設備詳情并下發遠程命令，配套的 bot 用于管理付費、生成木馬化 APK，以及將告警推送到指定的 Telegram 聊天中。這樣的服務化產品使得攻擊活動呈現規模化與職業化特征，Telegram 繼續扮演著連接賣家與買家的黑市市集角色。

這一威脅暴露出移動端威脅生態正快速演化的現實。大規模的 Malwares-as-a-Service 平臺降低了技術門檻，使得原本需要開發技能的攻擊手法對更廣泛的犯罪群體可用；與此同時，來自正規應用商店的檢測與防護也并非萬無一失，最新的行業報告顯示近年安卓惡意軟件交易與感染事件顯著上升，研究顯示 Google Play 上仍存在大量惡意應用被下載數千萬次，安卓相關威脅在短期內出現兩位數增長。對于依賴 BYOD（自帶設備辦公）或移動銀行的企業與個人用戶而言，風險尤為明顯。

對于防御與緩解，企業應當從策略、技術與用戶教育三個層面同時發力。策略上，企業應嚴格限制敏感業務在個人設備上的使用，采用最小權限與分區策略（例如容器化企業應用或使用移動設備管理 MDM/EMM 方案），并在必要時禁止將設備設為默認短信應用以降低 SMS 劫持風險。技術上，應部署具有行為檢測能力的移動威脅防護（MTD/EDR for mobile），啟用 Google Play Protect 并限制只從可信應用源安裝程序，同時對高風險權限變更與異常網絡通信實施報警與隔離。用戶教育方面，需要重點提醒員工警惕假更新、非官方安裝包與社工式誘導，不隨意授予 SMS、Accessibility、攝像頭或麥克風一類高風險權限，并在發現異常電量消耗、后臺網絡流量或突發通知行為時及時上報與斷網排查。以上措施對降低 Fantasy Hub 類工具的成功率至關重要。

從更廣泛的安全態勢看，Fantasy Hub 的曝光再次證明移動端已成為攻擊者重點角力場。攻擊者不僅復用已有技術（如 overlay、SMS 劫持、默認 SMS 權限濫用），還在集成實時流媒體、自動化打包與訂閱管理等功能上快速迭代，形成“工具化＋服務化＋自動化”的攻擊鏈條。安全防護體系需要相應升級，從單點簽名檢測轉向基于行為、鏈路與策略的綜合防護，同時加強產業協同與情報共享，以便在惡意工具迅速擴散時實現快速發現與阻斷。

對于普通用戶，最直接且有效的防護措施仍是謹慎安裝來源與權限管理。不要從短信鏈接或不明渠道安裝應用，不要輕易將陌生應用設置為默認短信處理器或授予 Accessibility 權限，定期檢查已安裝應用與系統權限，并在發現可疑應用時及時卸載且更改相關賬戶密碼與 MFA 方式（推薦使用基于應用或硬件的雙因素設備而非僅依賴短信）。對于企業安全團隊，應盡快將移動安全納入整體威脅模型與應急演練范疇，特別是涉及金融工作流與員工使用個人設備接入業務系統的場景。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！