潜伏4年，安卓间谍软件伺机操控你的手机！只感染有钱人，还能隐藏踪迹

大数据文摘出品

作者：刘俊寰、白浩然

最近，韩国多位明星手机被黑，被黑手机都是三星的安卓机，手机安全问题逐渐被大家重视。

尽管用户隐私意识逐渐增强，还是敌不过黑客们变着法来窃取信息，这不，安卓用户又要睡不安生了。

最近，罗马尼亚杀毒软件Bitdefender的研究人员发现了一种多阶段安卓间谍软件（multi-stage Android spyware），自2016年起就一直潜伏在安卓后台，这个间谍软件为Mandrake，它能“完全控制手机设备”，窃取信息和加密货币，侵入银行帐户，甚至通过恢复出厂设置来掩盖其踪迹。

不过，如果你没什么钱，那么大可不必担心，据数据显示，这款间谍软件非常“嫌贫爱富”，只有在背后的操作人判断受害者有足够的钱值得窃取时，才会被激活，目前已经感染了成千上万的用户。

如今，已确认感染了Mandrake的应用已从谷歌商店中删除，但可以肯定的是，还有一些谷歌无法肯定是否感染的应用仍然被保留了下来。

因此谷歌建议，为避免更多用户感染这种病毒，请自行确保手机设置为不接受来自“未知来源”的应用程序，最好再安装一些杀毒软件。

Bitdefende报告全文：

https://www.bitdefender.com/files/News/CaseStudies/study/329/Bitdefender-PR-Whitepaper-Mandrake-creat4464-en-EN-interactive.pdf?clickid=U2BVmyRcnxyORxhwUx0Mo3Q1UkiwfdU2eUxqQM0&irgwc=1&MPid=221109&cid=aff%7Cc%7CIR

从安全到被黑，发生悲剧只要三步

从应用程序侵入到完全控制你的手机，Mandrake只需三步就能完成，期间用户很少能察觉到。

Mandrake侵入手机的第一阶段，被称为“降临”（dropper），以看起来像无害的应用程序的形式出现，同时也执行一些正常的操作。Bitdefender在谷歌商店中以CoinCast，Currency XE Converter，Car News，Horoskope，SnapTune Vid，Abfix和Office Scanner为搜索词，确定了其中一些。

尽管所有Mandrake相关的内容都已从谷歌商店中删除，但Tom's Guide发现在Facebook和YouTube上仍然会有相关内容的显示。

如果不小心安装了这些看似无害的应用程序，它就会马上开始收集有关用户手机设备和周围环境的信息，但此时它还不会做任何可怕的事情。在后续使用中，如果该应用不能很好地实现广告宣称的功能，当用户去谷歌商店上打差评，恶意软件的操作者甚至还会出面道歉并承诺改进。

除此之外，第一阶段还会引诱你授权从谷歌商店外部安装应用，随即进入第二阶段——“加载程序”(loader)，为避免引起用户怀疑，该程序自称为“安卓系统”。“加载程序”会潜伏在后台，收集更多有关你的信息，发送给恶意软件操作员，直到他们确定你是否足够有钱来。

如果你成为他们的攻击对象，那么加载程序将进入第三阶段，即“核心Mandrake恶意软件”（Core）。

Bitdefender写道：“考虑到间谍平台的复杂性，我们假设每次攻击都是针对性的，就像外科手术那样具有精确度，而且是手动操作而非自动化执行。”

“我们估计当前Mandrake间谍软件浪潮中的受害者有数万人，从2016年至今这4年时间里，受害者可能达到了数十万。”

Mandrake的“仪式性自杀”

三步窃取信息已经足够可怕了，但这还没完，当遇到“危险”时，Mandrake还会自动恢复手机至出厂设置，保证不会暴露自己。

在引诱用户时，Mandrake通过在屏幕上放置伪造的覆盖窗口来欺骗用户，例如必须同意的用户许可协议，这些都是针对不同手机、屏幕尺寸、语言和安卓版本而量身定制的，当用户点击“确定”接受协议时，就是授予了Mandrake管理特权。

授权成功后，Mandrake会将所有短信转发给攻击者，将通话记录转发给其他号码，阻止呼叫功能，安装或删除应用程序，窃取联系人列表，隐藏通知，记录屏幕活动，窃取Facebook和在线银行帐户的密码，创建网络钓鱼页面来窃取Gmail和亚马逊的资质证明，跟踪你的位置。

“coup de grâce”是内置于名为“seppuku（切腹）”恶意软件中的命令，该命令以一种日本仪式性自杀的形式命名，命令执行后，便将进行返厂级别的设备清洗，从而删除恶意软件的所有痕迹以及所有用户数据。

而且，由于之前授权了Mandrake管理权限，即使是万能的重启或卸载第一阶段应用程序，也难以保证摆脱核心恶意软件的攻击。

Mandrake的四年进化简史

从2016年至今，Mandrake潜伏的这四年也是不断进化的四年。

2016年，Mandrake首版oxide面世，主要由一个模仿Adobe的初始应用程序组成，不过此时中心内核部分已经初步确定。同年，第二版briar出现，在第二版中没有增加额外的功能，不过要注意的是，从第二版开始就奠定了其模仿通用安卓应用程序的传统。

2016年末，第三版ricinus出现，以第三版为基础，Mandrake一直到今天仍然在不断更新发展。在第三版中，Mandrake已经能够实现诸如屏蔽手机呼叫和过滤SMS历史记录的功能。

截止到此时，Mandrake内部只有两个核心，一个初始立足点示例（initial foothold sample）和下载核心（downloaded core）。

一年多后，在2018年7月，darkmatter掀起第二波浪潮，研究人员表示，尚不清楚他们为什么要等这么久，但可以肯定的是要升级系统是需要花费时间的。

这时，Mandrake将战场引向了谷歌商店，他们开始在谷歌商店部署样本，规范结构，最终形成了上述“加载程序“和核心Mandrake恶意软件”两个步骤。“加载程序”是通过谷歌商店分发的，这与普通应用程序一样，但同时Mandrake还具有下载和加载核心附加程序的功能。

在这个阶段，Mandrake进化得相当快，但ricinus没有进一步发展下去，至少从收集的样本来看是这样的。这种结构没有持续下去的原因之一，或许在于留下了太多可被追踪到的痕迹。

2019年初，一种新的组件类型被引入——“降临”，至此，完整的Mandrake就构建成功。

对这些应用程序来说，代码自然是越少越好，只需要满足下载一个加载程序组件并创建受害者的初始配置文件就足矣，Mandrake在这方面就做得十分完美。

“嫌贫爱富”：一切都是为了钱

这种精巧的能力，以及有针对性的攻击，通常会被认为是国家级的间谍活动，但Bitdefender的研究人员认为，更多的证据表明，这只是纯犯罪驱动的金钱掠夺。

比如，Bitdefender假设到，按照俄罗斯的标准模式，Mandrake不会攻击俄罗斯或前苏联的安卓用户，但Mandrake同时还避开了整个非洲、所有讲阿拉伯语的国家和其他许多贫穷国家。同时，由于未知的原因，它也避免将其自身安装在装有Verizon SIM卡或中国顶级移动运营商的SIM卡的电话上。

目前可以确定的是，Mandrake的主要目标是澳大利亚，其次是北美，西欧（和波兰）以及南美一些较富裕地区。

对于这些地区的富人们，Bitdefender也给出了值得参考的内容：“删除Mandrake的唯一方法是在安全模式下启动设备，删除设备管理员的特殊权限并手动卸载。”

当这类间谍软件越来越狡猾地侵入我们的日常生活，我们究竟能怎样确保自己的信息安全？

往更深了说，这类问题究竟是技术作为双刃剑所不可避免的弊端，或是将在某一天能够被技术本身所解决，在未来技术的不断发展中，我们也希望看到一种答案的可能形式。