shadowsockr ios客户端

作者 Ari Denial 译者张晓东发布于 2023年1月11日

自2022年10月以来，一种名为SpyNote（又名SpyMax）的新版安卓恶意软件一直是金融机构的攻击目标。

"SpyNote的开发者之前通过Telegram频道向个人出售SpyNote，他在GitHub上公开了源代码。这有助于黑客进一步开发和传播间谍软件，通常还以银行机构为目标"。ThreatFabric表示.

SpyNote是一款功能丰富的应用程序，它可以安装任意应用程序，收集短信、通话、视频和录音，跟踪GPS位置，甚至阻止卸载应用程序的尝试。

据ThreatFabric称："SpyNote.A和SpyNote.B这两个变种与最新的SpyNote.C变种的主要区别之一在于其活动目标。 SpyNote.C是第一个公开以银行应用程序为目标的变种，冒充汇丰银行、德意志银行、Kotak银行和BurlaNubank等大量知名金融机构，以及WhatsApp、Facebook和Google Play等知名应用程序"。

与其他银行恶意软件类似，SpyNote要求访问可访问性服务，以便从谷歌验证器（Google Authenticator）中提取双因素验证（2FA）代码，并记录键盘输入以欺骗银行凭证。

SpyNote利用Android的MediaProjection API捕获屏幕内容并窃取Facebook和Gmail密码。它还能冒充Google Play商店的官方服务以及其他生产力、游戏和壁纸类别的通用应用程序。

根据ThreatFabric的说法，这些都是SpyNote的一些伪装，主要通过钓鱼攻击传播：

美国银行确认 (软件包名称 - yps.eton.application)
光大银行 (包名称 - splash.app.main)
HSBC UK Mobile Banking (软件包名称 - com.employ.mb)
BurlaNubank (软件包名称 - com.appser.verapp)
Deutsche Bank Mobile (软件包名称 - com.reporting.efficiency)
当前活动 (软件包名称 - com.willme.topactivity)
对话_ (包名称 - com.appser.verapp)
虚拟Sim卡 (包名称 - cobi0jbpm.apvy8vjjvpser.verapchvvhbjbjq)

荷兰安全公司估计，在2021年8月至2022年10月期间，有87名不同的客户在SpyNote.C的开发者以CypherRat的名义在Telegram上发布广告后购买了SpyNote.C。然而，自2022年10月SpyNote开源以来，似乎有几个犯罪团伙在其活动中使用了CypherRat。

"SpyNote将继续使用Accessibility Service收集用户设备的基本数据，并将能够朝着成功发行的方向发展。我们还认为，这一趋势将继续采用混淆和打包等更好的安全措施来帮助保护程序本身。该公司预测说："在发布源代码后，SpyNote的不同分叉将可能继续出现。