黑客利用木馬偷取用戶(hù)信息的七招

隨著互聯(lián)網(wǎng)金融的發(fā)展，電子支付已經(jīng)占據(jù)了移動(dòng)支付的大半江山，但往往道高一尺魔高一丈，近期發(fā)生了多起手機(jī)銀行遭盜竊信息騙取錢(qián)財(cái)?shù)氖录?。?zhuān)家認(rèn)為，目前，不法分子制作假冒網(wǎng)銀升級(jí)助手、盜版手機(jī)網(wǎng)銀客戶(hù)端、釣魚(yú)支付寶等惡意軟件，嚴(yán)重威脅移動(dòng)支付安全。

而根據(jù)360互聯(lián)網(wǎng)安全中心日前發(fā)布的《2014年第二期中國(guó)移動(dòng)支付安全報(bào)告》顯示，國(guó)內(nèi)手機(jī)銀行客戶(hù)端中，黑客有七種招數(shù)利用木馬偷取用戶(hù)敏感信息。

招數(shù)一：

假冒銀行服務(wù)端攻擊

如果客戶(hù)端在登錄過(guò)程中不對(duì)服務(wù)端的身份進(jìn)行校驗(yàn)，就有可能連接到假冒的銀行服務(wù)端上，從而導(dǎo)致用戶(hù)名、密碼等信息被竊取。

在本次測(cè)評(píng)的16款銀行客戶(hù)端中，共有3款銀行客戶(hù)端存在忽略服務(wù)端證書(shū)校驗(yàn)安全漏洞。

招數(shù)二：

后臺(tái)記錄鍵盤(pán)信息

需鍵盤(pán)輸入的都是關(guān)鍵、敏感的信息，如登錄密碼、支付密碼、賬戶(hù)信息、資金信息等。如手機(jī)鍵盤(pán)的輸入過(guò)程被木馬病毒或黑客監(jiān)聽(tīng)，將造成用戶(hù)信息的泄漏。

招數(shù)三：

網(wǎng)銀賬戶(hù)信息裸奔

如果賬戶(hù)信息頁(yè)面被設(shè)置成為可直接導(dǎo)出，那么不需經(jīng)過(guò)登錄過(guò)程，就可查看用戶(hù)的網(wǎng)銀賬戶(hù)信息，相當(dāng)于賬戶(hù)信息在裸奔。沒(méi)有任何一款銀行客戶(hù)端軟件具有反Activity劫持的能力。

招數(shù)四：

仿登錄界面釣賬號(hào)密碼

惡意程序會(huì)啟動(dòng)仿冒銀行的登錄界面，用戶(hù)在仿冒界面里輸入資料致賬號(hào)和密碼被盜。16款手機(jī)銀行客戶(hù)端軟件中，沒(méi)有一款客戶(hù)端能單獨(dú)解決這類(lèi)問(wèn)題。

招數(shù)五：

利用安卓系統(tǒng)漏洞滲透

由于安卓系統(tǒng)存在一些問(wèn)題，用戶(hù)手機(jī)中諸多的系統(tǒng)漏洞得不到及時(shí)修復(fù)。專(zhuān)家認(rèn)為，木馬可輕松突破“自繪鍵盤(pán)”的防護(hù)，直接獲取用戶(hù)的賬號(hào)密碼。

招數(shù)六：

二次打包制造盜版

攻擊者用逆向分析工具，將銀行客戶(hù)端程序進(jìn)行反編譯，并向反編譯結(jié)果中加入惡意代碼，發(fā)布到審核不嚴(yán)格的第三方市場(chǎng)中。

招數(shù)七：

短信劫持獲取驗(yàn)證碼

本次測(cè)評(píng)的16款手機(jī)銀行客戶(hù)端軟件均采用“賬號(hào)密碼+短信驗(yàn)證碼”的偽雙因素認(rèn)證體系，在面對(duì)木馬攻擊時(shí)非常脆弱。雖已有銀行推廣雙因素認(rèn)證系統(tǒng)，但大多數(shù)用戶(hù)仍在用上述認(rèn)證方式。

（徐小龍）