北京
一款新被分析的安卓远程控制木马，能盯着你的手机屏幕，把密码和支付PIN码一并偷走。它叫YuanKong。
它的路子跟多数人印象里的手机木马不一样。不靠读短信，也不靠翻通讯录，而是用安卓的无障碍功能和屏幕控制能力，直接观察你在应用里的一举一动——包括银行和支付类应用。
研究人员提醒，这种手法意味着，哪怕你打开的是货真价实的正版应用，敏感信息照样可能被看光。木马还被设计成能长期潜伏，让操控者远程接管设备。
它能干什么
根据分析，YuanKong的能力清单包括：
- 屏幕截图
- 远程点击和滑动
- 读取剪贴板
- 读取通知
- 传输文件
- 收集位置信息
值得注意的是，被检视的样本并没有申请短信、通讯录、通话记录、摄像头或麦克风的权限。也就是说，它的风险主要来自屏幕和无障碍权限能读到、能做到的那些事。
星实验室（Star Labs）的研究人员通过分析安卓应用文件和代码，识别并拆解了这款木马。调查覆盖了110个投放器和57个不同的子载荷，全部由同一张YuanKong证书签名。这些样本携带不同的运营者账号信息，指向一个可供多方共用的服务。
投放器怎么把子应用装进来
在星实验室检视的样本里，第一个应用扮演投放器角色：内部藏着一个子应用，解包载荷后把它装上。
投放器把解密密钥和初始化向量，跟加密数据一起存在配置文件里。研究人员发现，这个文件用的是简单的XOR运算，而不是强加密方法，所以不用联系运营者的服务器，就能从投放器里还原出子应用。
被提取出来的子应用自称YuanKong，通过Socket.IO和WebSocket连接命令控制服务器。它的消息用带类型的JSON，传输保密靠TLS；分析没有发现连接内部对消息再加一层加密。服务器可以下发指令、接收收集到的数据，包括屏幕截图和文件。
安卓自带的调试功能又添了一层麻烦。YuanKong能借无障碍功能打开无线调试，读取手机上显示的配对信息，再跟设备本地的安卓调试桥服务配对。这样它拿到的是一个shell级别的会话，不是root权限，但足以用来授予权限、运行持久化脚本。类似滥用无线调试的做法，此前在RedHook的ADB滥用和其他安卓恶意软件案例中也被报告过。
PIN码和密码是怎么被拿走的
YuanKong能读取无障碍事件里的文本，包括输入框的变化，还能检查屏幕的无障碍树，找出密码字段。
它还支持一个假的数字键盘浮层：你按下的键会把真实数字送进木马的捕获缓冲区，而屏幕上显示的可能是掩码圆点。
对某些正版键盘，木马能映射出数字按键的位置，再用触摸坐标反推出受害者按了哪些数字。
支付PIN码的窃取同样可以用浮层完成。运营者可以提供一个网页，把它盖在选定的支付应用上。如果受害者在那个仿冒界面里输入PIN码，YuanKong就记下这个值，并可以发送到控制服务器。
这些手法在目的上，跟其他用假银行界面或无障碍权限的安卓威胁类似，比如RemControl的银行浮层——但技术设计未必相同。
运营者可以远程点击、滑动、打开应用、锁屏。YuanKong还能隐藏自己的图标，用互相重启的服务、抵抗卸载，并在连接中断时把偷来的记录排队，等之后再上传。它的本地ADB shell能装一个守护进程，帮助应用保持运行。分析把这一步描述为提权到安卓的shell用户，而不是root漏洞利用。
研究人员在他们检视的样本里追踪到42个运营者账号。账号标识和注册信息被编进应用，随设备活动报告一起发送，这让分析人员不用访问控制面板，就能把不同构建版本跟特定账号关联起来。
样本分析没有说明受害者最初是怎么被诱导安装这些应用的，也没有说明有多少手机受到影响，这些细节仍然未知。
对防御方来说，共用的YuanKong签名证书和命令控制主机集合，是比不断变化的包名和应用品牌更可靠的同族线索。安全团队可以搜索这张证书、列出的域名和IP地址、可疑的无线调试活动、陌生的无障碍服务，以及异常的远程控制行为。证书是有用的检测信号，但团队在采取行动前，应结合自身环境确认发现。
手机用户该做的：别从链接或陌生网站安装APK；检查哪些应用拥有无障碍权限；不需要时把无线调试关掉。如果设备可能已经中招，用官方号码联系银行，并在另一台可信设备上修改银行密码。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
