【安全圈】黑客團(tuán)伙濫用 Hugging Face 平臺(tái)傳播數(shù)千款安卓惡意軟件變種

關(guān)鍵詞

黑客

一款新型安卓惡意軟件攻擊活動(dòng)正將 Hugging Face 平臺(tái)當(dāng)作倉(cāng)庫(kù)，存放數(shù)千個(gè)安卓應(yīng)用安裝包（APK）載荷變種，專門竊取主流金融及支付平臺(tái)的用戶憑證。

Hugging Face 主要用于托管和分發(fā)人工智能（AI）、自然語(yǔ)言處理（NLP）及機(jī)器學(xué)習(xí)（ML）模型、數(shù)據(jù)集與相關(guān)應(yīng)用。該平臺(tái)向來(lái)被視為可信度較高的技術(shù)平臺(tái)，一般不會(huì)觸發(fā)安全告警，但此前也曾有不法分子濫用該平臺(tái)托管惡意人工智能模型。研究人員發(fā)現(xiàn)，攻擊者正是利用 Hugging Face 平臺(tái)的這一特性，大規(guī)模分發(fā)安卓惡意軟件。

該攻擊活動(dòng)的誘導(dǎo)流程如下：攻擊者通過(guò)恐嚇式廣告吸引受害者，謊稱其設(shè)備已遭病毒感染，誘騙用戶安裝一款名為 TrustBastion 的投放器應(yīng)用。這款惡意應(yīng)用偽裝成安全工具，對(duì)外宣稱可檢測(cè)詐騙信息、釣魚短信、釣魚攻擊及惡意軟件等各類威脅。

用戶安裝 TrustBastion 后，應(yīng)用會(huì)立即彈出一個(gè)強(qiáng)制更新提示，其界面設(shè)計(jì)高度模仿谷歌應(yīng)用商店，極具迷惑性。

假的 Google Play 頁(yè)面

與直接投放惡意軟件的方式不同，這款投放器會(huì)先連接與 trustbastion [ . ] com 相關(guān)聯(lián)的服務(wù)器，該服務(wù)器會(huì)返回一個(gè)跳轉(zhuǎn)鏈接，指向存儲(chǔ)在 Hugging Face 數(shù)據(jù)集倉(cāng)庫(kù)中的惡意安裝包。最終的惡意載荷會(huì)從 Hugging Face 的基礎(chǔ)設(shè)施中下載，并通過(guò)其內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）完成投遞。

為規(guī)避安全檢測(cè)，威脅者采用了服務(wù)端多態(tài)技術(shù)，每 15 分鐘就生成一個(gè)全新的惡意載荷變種。在本次調(diào)查期間，該惡意軟件倉(cāng)庫(kù)已存在約 29 天，累計(jì)提交記錄超 6000 條。

研究人員分析過(guò)程中，這個(gè)用于分發(fā)載荷的倉(cāng)庫(kù)曾被平臺(tái)下架，但該攻擊團(tuán)伙很快以 "Premium Club" 的新名稱卷土重來(lái)，更換了應(yīng)用圖標(biāo)，卻保留了全部惡意代碼。

攻擊活動(dòng)中的核心惡意載荷尚未被命名，本質(zhì)是一款遠(yuǎn)程控制工具。它會(huì)以保障安全為由，誘導(dǎo)用戶授予安卓系統(tǒng)的輔助功能權(quán)限——而這正是該惡意軟件實(shí)現(xiàn)攻擊的關(guān)鍵。

無(wú)障礙服務(wù)請(qǐng)求

一旦獲取該權(quán)限，惡意軟件便能在用戶屏幕上顯示懸浮窗口、捕獲屏幕內(nèi)容、模擬滑動(dòng)操作，甚至阻止用戶卸載應(yīng)用。

這款惡意軟件會(huì)全程監(jiān)控用戶操作行為并截取屏幕截圖，將所有信息竊取后發(fā)送給攻擊者。同時(shí)，它還會(huì)偽造金融平臺(tái)的登錄界面，以此騙取用戶的賬戶憑證，甚至?xí)L試竊取用戶的鎖屏密碼。

惡意軟件會(huì)持續(xù)與命令與控制（C2）服務(wù)器保持連接，一方面將竊取到的數(shù)據(jù)上傳至服務(wù)器，另一方面接收來(lái)自攻擊者的命令執(zhí)行指令、配置更新信息，同時(shí)服務(wù)器還會(huì)推送偽造的應(yīng)用內(nèi)內(nèi)容，讓 TrustBastion 看起來(lái)更像一款正規(guī)應(yīng)用。

發(fā)現(xiàn)此次攻擊活動(dòng)的研究人員已就該威脅者的惡意倉(cāng)庫(kù)問(wèn)題向 Hugging Face 平臺(tái)進(jìn)行通報(bào)，平臺(tái)隨即移除了包含惡意軟件的相關(guān)數(shù)據(jù)集。研究人員也公開(kāi)發(fā)布了針對(duì)該投放器、相關(guān)網(wǎng)絡(luò)及惡意安裝包的入侵指標(biāo)（IOC）。

安全專家提醒安卓用戶，應(yīng)避免從第三方應(yīng)用商店下載應(yīng)用或手動(dòng)安裝應(yīng)用程序；同時(shí)，安裝應(yīng)用時(shí)要仔細(xì)查看其申請(qǐng)的權(quán)限，確認(rèn)所有權(quán)限均為應(yīng)用實(shí)現(xiàn)核心功能所必需。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！