叫車app也有山寨版?! 冒充叫車應用程式的 FakeToken 木馬再現身

叫車程式會儲存及使用個人金融資訊和身分資料,FakeToken 變種木馬會即時監控 Android 裝置上所安裝的這類應用程式並試圖偷取相關資料。當使用者執行某個叫車程式時，FakeToken 就會顯示一個網路釣魚畫面並將它重疊在原本的應用程式畫面上，騙受害者輸入信用卡資料。而且網路釣魚畫面長得跟就像原本的應用程式一樣，包括標誌和配色等等。此外，這一版的 FakeToken 還會攔截手機收到的簡訊，監控手機通話並錄音

趨勢科技提醒您,請勿在網路上分享過多個人資訊，同時也盡可能減少您提供給應用程式的權限。還有，務必小心一些不請自來的簡訊

您是否正準備使用您最愛的叫車程式來規劃您接下來的路線呢？請注意，如果該程式曾經不只一次向您要求輸入信用卡資料，那這很可能是個惡意程式。

資安研究人員發現，目前有個 Android 叫車應用程式其實是 FakeToken 銀行木馬程式所假冒 (趨勢科技命名為 ANDROIDOS_FAKETOKEN)。除此之外，該版本的 FakeToken 還會冒充成一些交通罰單或飯店和機票訂位的支付程式。

FakeToken 的詐騙伎倆相當值得關注，因為目前叫車、共乘、計程車、交通運輸等應用程式在全球相當盛行，包括 Uber、Lyft、Sidecar、Easy、Grab 等等，Uber 應用程式在 Google Play 商店上的安裝次數就累積達 1 至 5 億次之間，所以 FakeToken 對使用者來說相當危險。

[延伸閱讀：Uber 之類的叫車程式有可能如何洩漏您的隱私？]

不過，叫車程式的問題還不只在於數量龐大，更重要的是這類程式會儲存及用到個人金融資訊和身分資料。最新版的 FakeToken 會即時監控裝置上所安裝的這類應用程式並試圖偷取使用者的資料。當使用者執行某個叫車程式時，FakeToken 就會顯示一個網路釣魚畫面並將它重疊在原本的應用程式畫面上，騙受害者輸入信用卡資料。而且網路釣魚畫面長得跟就像原本的應用程式一樣，包括標誌和配色等等。

此外，這一版的 FakeToken 還會攔截手機收到的簡訊，並將簡訊內容傳送至網路犯罪集團的幕後操縱 (C&C) 伺服器。如此一來，歹徒就取得銀行或行動服務所發出的雙重認證碼。但更可怕的是，FakeToken 還可監控手機通話並錄音，然後將內容上傳至歹徒的 C&C 伺服器。

[TrendLabs 資安部落格文章：Android 後門程式 GhostCtrl 如何暗中錄音、錄影等等…]

FakeToken 首次現身於 2013 年，一開始是專門竊取銀行資訊的手機惡意程式，但同時也是一個手機勒索病毒。它會利用企業用 Android 應用程式經常使用的裝置管理應用程式介面 (API) 來變更裝置的密碼並鎖定裝置畫面。2016 年，FakeToken 的變種數量最多，該年，手機銀行木馬程式肆虐最嚴重的國家是俄羅斯，其次是澳洲、日本、羅馬尼亞、德國、烏克蘭以及台灣。

趨勢科技提醒您,請勿在網路上分享過多個人資訊，同時也盡可能減少您提供給應用程式的權限。還有，務必小心一些不請自來的簡訊，尤其如果還內含可疑連結就要更加提高警覺。企業應採取一些最佳實務原則來保障行動裝置安全，尤其是實施個人自備裝置 (BYOD) 政策的環境，更應如此。