銀行木馬是一種“老而彌堅”的惡意軟件，可竊取用戶的憑證和會話cookie來繞過雙因素認證（2FA）保護，有時甚至能自動執行交易來竊取用戶的在線銀行帳戶資金。

根據移動安全公司Zimperium最新發布的2023年度移動安全報告，除了2023年新出現的10個安卓銀行木馬外，2022年流行的19個安卓銀行木馬在2023年也發生了“變異”，增加了新的功能并提高了操作復雜性。

銀行木馬的八個關鍵趨勢

通過對這29個銀行木馬的追蹤分析，Zimperium發現2023年移動惡意軟件威脅呈現以下八個趨勢：

• 銀行木馬的八個關鍵趨勢添加自動轉賬系統(ATS)，用于捕獲MFA代幣、發起交易并執行資金轉賬。
• 銀行木馬的八個關鍵趨勢基于電話的攻擊交付（TOAD）：結合社會工程攻擊，例如網絡犯罪分子會冒充客戶支持代理，引導受害者自行下載木馬有效負載。
• 添加實時屏幕共享功能，無需物理訪問即可遠程控制受害者的設備。
• 使用域名生成算法（DGA）：繞過黑名單過濾。
• 惡意軟件即服務（MaaS）：以每月3000至7000美元的價格向其他網絡犯罪分子提供訂閱包中的惡意軟件。
• 標準功能完善。受調查的大多數木馬提供了包括鍵盤記錄、網絡釣魚頁面和短信竊取等“標準功能”。
• 代碼開源。惡意軟件代碼開源導致迭代加快，使基于簽名的殺毒軟件失效。
• 開始竊取數據。一個令人擔憂的發展趨勢是，銀行木馬不再僅僅竊取銀行憑證和資金，現在還開始瞄準社交媒體、消息和個人隱私數據。

十大新興安卓銀行木馬

報告重點分析了2023年誕生的十大新興銀行木馬家族（其中包含超過2100個在野外傳播的變種），這些木馬偽裝成特殊實用程序、生產力應用程序、娛樂門戶、攝影工具、游戲和教育輔助工具等，在安卓應用生態和分發渠道中廣為傳播。

根據攻擊目標的數量來看，Hook、Godfather和Teabot是2023年最具影響力的三大銀行惡意軟件。

傳統銀行應用程序仍然是銀行木馬主要目標，受感染的應用程序數量達到驚人的1103個，占1800個目標的61%，而新興的金融科技和交易應用程序則占剩余的39%。

以下是這十個新木馬的統計列表：

• Nexus：MaaS（惡意軟件即服務）模式，有498種變體，提供實時屏幕共享，針對9個國家/地區的39個應用。
• Godfather：MaaS模式。有1171種已知變體，針對57個國家/地區的237個銀行應用。支持遠程屏幕共享。
• Pixpirate：有123個已知變體，由ATS模塊驅動，針對10個銀行應用程序。
• Saderat：有300個變體，針對23個國家/地區的8個銀行應用程序。
• Hook：MaaS模式。有14種已知變體，支持實時屏幕共享。其攻擊目標覆蓋43個國家/地區的468個應用程序，并以每月7000美元的價格租給網絡犯罪分子。
• PixBankBot：有三個已知變體，針對4個銀行應用程序。配備了用于設備上欺詐的ATS模塊。
• Xenomorphv3：MaaS模式。有能夠執行ATS操作的六種變體，針對14個國家/地區的83個銀行應用。
• Vultur：有9個變體，針對15個國家/地區的122個銀行應用程序。
• BrasDex：針對巴西8個銀行應用程序的木馬。
• GoatRat：有52個已知變體，由ATS模塊驅動，針對6個銀行應用程序。

此外，還有很多2022年開始流行并在2023年完成更新的惡意軟件家族，其中依然保持活躍的家族包括Teabot、Exobot、Mysterybot、Medusa、Cabossous、Anubis和Coper。

在安卓銀行木馬攻擊的國家/地區統計中，排名第一的是美國（109個目標銀行應用程序），其次是英國（48個銀行應用程序）、意大利（44個應用程序）、澳大利亞（34）、土耳其（32個）、法國（30）、西班牙（29）、葡萄牙（27）、德國（23）和加拿大（17）。

三大緩解措施

報告指出，2023年銀行木馬給金融企業造成的經濟損失和運營成本持續增加，同時導致消費者信任度和品牌影響力下降。金融機構應該采取主動和自適應安全方法應對不斷增長的威脅，并重點實施以下三大緩解措施：

• 確保安全措施與威脅的復雜程度相匹配：使用先進的代碼保護技術提升攻擊應用程序所需的成本和精力，使其超過攻擊者的潛在收益。
• 實現運行時可見性以進行全面的威脅監控和建模：移動應用安全領導者必須實現跨各種威脅媒介（包括設備、網絡、應用程序和網絡釣魚）的運行時可見性。這種實時洞察力可以主動識別和報告風險、威脅和攻擊。
• 部署設備上保護以實現實時威脅響應：移動應用安全領導者應優先實施設備上保護機制，使移動應用能夠在檢測到威脅時立即采取行動。這種能力應該是自主的，不需要依賴網絡連接或后端服務器通信。

對于個人用戶來說，防范安卓手機銀行木馬的關鍵措施是：避免從非官方應用商店下載應用；在應用安裝過程中密切注意權限請求，切勿授予對“輔助功能服務”的訪問權限；避免點擊來路不明的短信或郵件中的（應用下載）鏈接。