制作|开源中国
文|特拉维斯
在研究人员发现9个Android应用程序窃取了用户的脸书登录凭据后，谷歌已经将这些应用程序从Play Store中移除，此后这些应用程序的总下载次数已经超过660万次。
在安全公司Dr.Web最近发布的一份报告中，Dr.Web表示，为了赢得用户的信任并降低他们的警惕性，这些应用程序提供了照片编辑、运动和训练、天文和清理设备上的垃圾文件等全功能服务。但所有已确认的应用都为用户提供了一个选项，让他们可以通过登录脸书账户来禁用应用内广告。选择此选项的用户可以看到一个真实的脸书登录页面，其中有用户名和密码输入框。
这些恶意软件使用一种特殊机制来欺骗用户。在启动时从CC服务器之一接收到必要的设置后，他们将合法的脸书页面加载到WebView中。接下来，他们将从CC服务器接收的Javascript加载到同一个WebView中。该脚本直接用于劫持输入登录凭证。
之后，这个Javascript使用JavascriptInterface annotation提供的方法将窃取的登录名和密码传递给恶意程序，然后恶意程序将数据传输到攻击者的CC服务器。受害者登录他们的帐户后，恶意程序还会从当前授权会话中窃取cookies。这些cookies也会被发送给攻击者。
对恶意程序的分析表明，攻击者可以很容易地改变恶意软件的设置，让软件加载其他合法服务的网页。因此，这些恶意软件可能被用来从任何服务中窃取帐户和密码。
研究人员已经确定了隐藏在应用程序中的五种恶意软件变种，其中三种是原生Android应用程序，另外两种使用谷歌的Flutter框架，旨在实现跨平台兼容性。所有这些变种都被归类为相同的木马，因为它们使用相同的配置文件格式和相同的Javascript代码来窃取用户数据。
这些恶意软件变种包括:
安卓。PWS
安卓。PWS
安卓。PWS
安卓。PWS
安卓。PWS
大部分下载都是为了一个叫PIP Photo的应用，已经下载了580多万次。排名第二的应用程序是处理照片，下载量超过50万次。其余的应用程序是:
垃圾清洁工:下载量超10万；
在健身方面:下载量超10万；
星座每日:超过10万次下载；
App Keep:下载量超5万；
Lockmaster:超过5000次下载；
星座圆周率:超过1000次下载；
App锁管理器:10次下载；
Google Play搜索显示，Play商店已经删除了所有应用。谷歌发言人表示，谷歌不仅移除了这些应用，还禁用了所有应用的开发者账户。任何下载了上述应用程序的人都应该检查他们的脸书帐户，尽快更改他们的密码，并对他们的帐户进行第二次验证。
