關鍵詞

黑客

一款新型安卓惡意軟件攻擊活動正將 Hugging Face 平臺當作倉庫，存放數千個安卓應用安裝包（APK）載荷變種，專門竊取主流金融及支付平臺的用戶憑證。

Hugging Face 主要用于托管和分發(fā)人工智能（AI）、自然語言處理（NLP）及機器學習（ML）模型、數據集與相關應用。該平臺向來被視為可信度較高的技術平臺，一般不會觸發(fā)安全告警，但此前也曾有不法分子濫用該平臺托管惡意人工智能模型。研究人員發(fā)現，攻擊者正是利用 Hugging Face 平臺的這一特性，大規(guī)模分發(fā)安卓惡意軟件。

該攻擊活動的誘導流程如下：攻擊者通過恐嚇式廣告吸引受害者，謊稱其設備已遭病毒感染，誘騙用戶安裝一款名為 TrustBastion 的投放器應用。這款惡意應用偽裝成安全工具，對外宣稱可檢測詐騙信息、釣魚短信、釣魚攻擊及惡意軟件等各類威脅。

用戶安裝 TrustBastion 后，應用會立即彈出一個強制更新提示，其界面設計高度模仿谷歌應用商店，極具迷惑性。

假的 Google Play 頁面

與直接投放惡意軟件的方式不同，這款投放器會先連接與 trustbastion [ . ] com 相關聯(lián)的服務器，該服務器會返回一個跳轉鏈接，指向存儲在 Hugging Face 數據集倉庫中的惡意安裝包。最終的惡意載荷會從 Hugging Face 的基礎設施中下載，并通過其內容分發(fā)網絡（CDN）完成投遞。

為規(guī)避安全檢測，威脅者采用了服務端多態(tài)技術，每 15 分鐘就生成一個全新的惡意載荷變種。在本次調查期間，該惡意軟件倉庫已存在約 29 天，累計提交記錄超 6000 條。

研究人員分析過程中，這個用于分發(fā)載荷的倉庫曾被平臺下架，但該攻擊團伙很快以 "Premium Club" 的新名稱卷土重來，更換了應用圖標，卻保留了全部惡意代碼。

攻擊活動中的核心惡意載荷尚未被命名，本質是一款遠程控制工具。它會以保障安全為由，誘導用戶授予安卓系統(tǒng)的輔助功能權限——而這正是該惡意軟件實現攻擊的關鍵。

無障礙服務請求

一旦獲取該權限，惡意軟件便能在用戶屏幕上顯示懸浮窗口、捕獲屏幕內容、模擬滑動操作，甚至阻止用戶卸載應用。

這款惡意軟件會全程監(jiān)控用戶操作行為并截取屏幕截圖，將所有信息竊取后發(fā)送給攻擊者。同時，它還會偽造金融平臺的登錄界面，以此騙取用戶的賬戶憑證，甚至會嘗試竊取用戶的鎖屏密碼。

惡意軟件會持續(xù)與命令與控制（C2）服務器保持連接，一方面將竊取到的數據上傳至服務器，另一方面接收來自攻擊者的命令執(zhí)行指令、配置更新信息，同時服務器還會推送偽造的應用內內容，讓 TrustBastion 看起來更像一款正規(guī)應用。

發(fā)現此次攻擊活動的研究人員已就該威脅者的惡意倉庫問題向 Hugging Face 平臺進行通報，平臺隨即移除了包含惡意軟件的相關數據集。研究人員也公開發(fā)布了針對該投放器、相關網絡及惡意安裝包的入侵指標（IOC）。

安全專家提醒安卓用戶，應避免從第三方應用商店下載應用或手動安裝應用程序；同時，安裝應用時要仔細查看其申請的權限，確認所有權限均為應用實現核心功能所必需。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！