每個智慧型手機使用者平均會在裝置上安裝 80 個應用程式，但其中只有 9 個是每天都會用到，另外還有 30 個是每個月都會用到。這表示，大概有一半的應用程式從來就不需要用到。這類應用程式大概都只用過一次，然後就被遺忘在應用程式資料夾內，因而浪費了許多儲存空間。這就是為何 Google 會推出即時應用程式 (Instant App)。
Google Play 即時應用程式最早是在 2016 年推出，專門針對 Android 使用者。這項功能讓您無須完整下載某些應用程式就能體會應用程式的一些基本功能。應用程式可以經由一個連結或網址來啟動，並透過電子郵件、即時通訊軟體、網頁廣告或QR Code 的方式來提供給使用者。
要在 Google Play 上啟用這項功能，請依照以下步驟：
下載免費 APP, Facebook 帳號竟被冒名進行網路釣魚詐騙、散發假貼文…最近趨勢科技發現惡名昭彰的 Facestealer 間諜程式在 Google Play 上再度利用 200 多款冒牌應用程式竊取使用者的 Facebook 登入憑證。
另外也發現了 40 多個冒牌的虛擬加密貨幣挖礦( coinmining )程式，宣稱提供虛擬加密貨幣的賺錢機會,誘騙使用者購買付費服務或點選廣告。除了引誘受害者購買假的雲端挖礦服務，還會試圖利用一些誘餌來騙取使用者的私密金鑰及其他虛擬加密貨幣相關的機敏資料。
最近我們發現 Google Play 上有多款應用程式專門竊取使用者的登入憑證和其他機敏資訊，例如私密金鑰。由於這些應用程式為數眾多且相當熱門 ,有的甚至累積數十萬次下載,或是擁有 4.5 顆星評價。另外還有冒牌挖礦程式,藉著捏造假評價宣稱已領到網站空投的 0.1 乙太幣(約 240 美元),藉以騙取錢包中的 100 美金,並進一步蒐集私密金鑰與助記詞。
以下我們深入研究幾個跟健身、相片編輯、濾鏡還有挖礦程式有關的惡意應用程式:
Facestealer 間諜程式最早是在 2021 年的一篇文章當中所披露，該文章詳細描述它如何在 Google Play 上利用冒牌應用程式竊取使用者的 Facebook 登入憑證。這些被偷的登入憑證將用來登入受害者的 Facebook 帳號以從事各種惡意活動，如：網路釣魚詐騙、散發假貼文、散發廣告。如同另一個名為「Joker」的行動惡意程式一樣，Facestealer 會經常修改程式碼，進而製造出許多變種。這個間諜程式從被發現以來，一直是 Google Play 的頭痛問題。
近期我們在研究行動惡意程式時發現了 200 多個 Facestealer 的冒牌應用程式，並已收錄到趨勢科技行動應用程式信譽評等服務 (MARS) 資料庫當中。
繼續閱讀趨勢科技在免費跨平臺檔案分享程式 SHAREit (「茄子快傳」)應用程式發現了漏洞。這些漏洞可以被惡意用來取得使用者的敏感資料，執行任意程式碼並可能導致遠端程式碼執行。此應用程式有超過10億次的下載量。
在名為SHAREit的應用程式中發現的這些漏洞可以被惡意用來取得使用者的敏感資料，並讓惡意程式碼或應用程式能夠用SHAREit的權限來執行任意程式碼。它們還可能導致遠端程式碼執行（RCE）。在過去，可用來從使用者裝置下載和竊取檔案的漏洞往往與應用程式相關聯。當應用程式允許傳輸和下載如Android Package（APK）等各式類型的檔案，非預期的程式缺陷就可能導致這些功能出現漏洞。
SHAREit在Google Play上有超過10億次的下載量，並被評為2019年下載次數最多的應用程式之一。這些漏洞已經通報給了Google。
已經累積了超過 5 萬次下載的 Android 恐怖遊戲:
「Scary Granny ZOMBYE Mod: The Horror Game 2019」，刻意要借助另一款熱門遊戲「Granny」的知名度, 會竊取 Facebook 和 Google 使用者的登入憑證，並且還會出現其他惡意行為。
它運用了網路釣魚常用的伎倆,比如 跳出 Google Play 服務更新通知; 以「com.googles.android.gms」企圖讓受害者以為是「com.google.android.gms」正牌套件 (只差一個「s」字母)等等。
這款遊戲的名稱是「Scary Granny ZOMBYE Mod: The Horror Game 2019」，顯然是刻意要借助另一款熱門遊戲「Granny」的知名度。為了避免玩家起疑，該遊戲在安裝之初的兩天內都不會出現任何惡意行為。
此遊戲首先會試圖利用網路釣魚(Phishing)方式蒐集使用者的 Google 登入憑證。它會顯示通知要使用者更新 Google Play 服務，並顯示一個假冒的登入頁面。而此頁面就像其他網路釣魚頁面一樣露出了破綻，在「sign in」(登入) 的字樣當中出現拼字錯誤。
若使用者不小心輸入了自己的登入憑證，惡意程式就會利用內建的瀏覽器和某個經過加密編碼的程式套件來登入使用者的 Google 帳號。這個經過加密編碼的套件還刻意取名成跟正常的 Android 應用程式套件很像，例如「com.googles.android.gms」，這跟 Google 某個名為「com.google.android.gms」的套件幾乎完全一樣 (只差一個「s」字母)。除此之外，惡意程式還用到了一個 Facebook 的程式套件叫作「com.facebook.core」，此套件似乎與 Google 的套件功能一樣。
繼續閱讀集銀行木馬 、 勒索病毒 、 鍵盤側錄器於一身的 Anubis 安卓手機病毒, 日前被發現偽裝成「Currency Converter」(匯率轉換) 和「BatterySaverMobi」(電池節能) 的工具應用程式,藉以散播 。
Anubis本身內建的鍵盤側錄功能，能記錄使用者輸入的按鍵，也可直接截取使用者的裝置畫面，以便獲得帳號登入憑證。
根據趨勢科技的資料顯示，最新版的 Anubis 已散布至全球 93 個國家，可竊取 377 種銀行應用程式使用者的帳戶資料。除此之外，Anubis 一旦成功執行，還有可能取得裝置上的通訊錄及定位資訊，也有能力錄音、發送簡訊、撥打電話並且寫入外接儲存。Anubis 可利用這些權限來發送垃圾訊息給通訊錄上的聯絡人 。
最近趨勢科技在 Google Play 商店上發現兩個會散布銀行惡意程式的應用程式，這兩個應用程式分別偽裝成名為「Currency Converter」(匯率轉換) 和「BatterySaverMobi」(電池節能) 的工具程式。
第一個電池節能工具已累積了 5,000 次以上的下載，並獲得 4.5 星的評價 (共 73 筆評論)。但若仔細觀察一下評論的內容就會發現這些評論有些可能是捏造的，因為其中參雜了一些匿名用戶的評論，並且有些評論邏輯不通且缺乏實質內容。
根據趨勢科技對這波攻擊的研究，這些應用程式會在系統上植入一個我們合理推論應該是「Anubis 銀行惡意程式」的檔案 (趨勢科技命名為 ANDROIDOS_ANUBISDROPPER )。該檔經過仔細分析之後，證明其程式碼與已知的 Anubis 樣本極為類似。此外，我們也發現它會連上位於「aserogeege.space」網域的幕後操縱 (C&C) 伺服器，該網域也與 Anubis 有所關聯。
這個「aserogeege.space」網域以及其他 18 個惡意網域皆對應至「47.254.26.2」這個 IP 位址，而我們也確認 Anubis 使用了這些網域底下的子網域。這些網域會經常變換其對應的 IP 位址，從 2018 年至今大約已更換過六次，顯示歹徒的攻擊行動相當活躍。
圖 1：Google Play 商店上的惡意應用程式。
表 1：BatterySaveMobi 所有樣本肆虐地區分布。
上述不肖應用程式不僅使用了傳統的躲避技巧，還利用使用者裝置的動作感應功能來躲避偵測。
繼續閱讀