手機一直顯示”充電中~” 其實是下載的假太陽能充電應用程式默默在偷個資

ANDROIDOS_CONTACTS.E 惡意程式資料竊取行為分析

有一款假太陽能充電應用程式,用假正面評價騙取下載,卻附贈偷資料病毒:ANDROIDOS_CONTACTS.E 惡意程式。本文將深入探討該程式的運作方式以及歹徒如何從中獲利。

此次分析我們將選定「Solar Change」(太陽能充電) 這個 App 程式來做說明。我們發現這個 Android App 程式 (也就是我們偵測到的 ANDROIDOS_CONTACTS.E) 會從受感染的裝置蒐集一些聯絡資訊，如：電子郵件地址。駭客取得這些聯絡資訊之後，就能將這些資訊賣給一些專門從事犯罪攻擊或散發垃圾郵件的集團。

當使用者安裝這個 App 程式時，裝置會顯示該程式所要求開放的權限。若您仔細查看這些權限就會發現，該程式也要求取得裝置上儲存的詳細聯絡人資料及帳號清單。

權限	功能
android.permission.READ_CONTACTS	允許 App 程式讀取使用者的聯絡人資料
android.permission.BATTERY_STATS	允許 App 程式蒐集電池相關統計數據
android.permission.INTERNET	允許 App 程式建立網際網路連線
android.permission.READ_PHONE_STATE	開放手機狀態的唯讀權限
android.permission.GET_ACCOUNTS	允許存取「帳戶服務」當中的帳戶清單

不幸的事，這些權限一旦開放，就會讓 App 程式取得某些詳細資料，並且傳送給專門散發垃圾郵件的集團。

「Solar Charge」這個應用程式不僅會要求開放聯絡資料與帳戶服務的存取權限之外，此應用程式本身根本就沒有作用。它只會一直顯示「Charging」(充電中) 的訊息，並且假裝正在使用太陽能幫電池充電。在假裝充電時，還會出現另一個訊息說您的裝置不適用該程式。

就在假裝充電的過程當中，此 App 程式其實正試圖竊取使用者裝置上的詳細聯絡資訊和 Gmail 帳戶清單，然後傳送至遠端的某個伺服器。

「Solar Charge」一直顯示「Charging」(充電中) 的訊息，並且假裝正在使用太陽能幫電池充電。

當趨勢科技在分析此 App 程式時，我們發現了這些專門竊取個人資訊 (如：聯絡人和電子) 的程式碼。

上方螢幕擷取畫面顯示 Solar Charge 程式和遠端伺服器的通訊內容。我們可以看到，此 App 程式會試圖將蒐集到的電話號碼傳送至「myid=080{已遮蓋處理}」這個位址。我們也發現，接在「frdata=」這個參數後面的是程式蒐集來的聯絡資訊，採用 URL 方式編碼。

根據趨勢科技解碼的結果，我們發現程式會將姓名、電話及電子郵件地址傳送到某個遠端伺服器。

以下是 ANDROIDOS_CONTACTS 惡意 App 程式家族的一些 HTTP 遠端通訊伺服器。

此 App 程式背後的歹徒可能會使用多個不同國家的伺服器來躲避追查。此外，一旦發現某個伺服器遭到封鎖，他們就會迅速換上另一台伺服器。

通訊資料每一筆賣 0.14 至 1.5 日圓

那麼，接下來最大的問題是，為何歹徒要不斷利用惡意 App 程式來竊取聯絡資訊呢？我們可以歸納出二個原因：

第一，他們將這些偷來的聯絡人加入他們的垃圾郵件散發清單當中。

第二，他們也會將偷來的資料賣給其他偏好「新鮮」名單的集團，例如一些交友網站。這些帳號都是整批販售，一批大概包含幾萬筆帳號。每一帳號的價格大約在 0.14 至 1.5 日圓不等。

趨勢科技的客戶不必擔心，因為趨勢科技行動安全防護for Android中文版已可偵測這些 ANDROIDOS_CONTACTS.E 惡意程式。不過為了預防起見，在安裝 App 程式之前，使用者務必查看程式所要求開放的權限為何，因為有些權限可能導致不當的資訊外洩。若要進一步了解如何保護行動裝置資料安全，您可以參考以下我們提供的數位生活 e 指南：