手机病毒

手机木马病毒介绍

目前智能手机系统上的木马病毒程序已经泛滥，特别是Android系统开源且水

货、刷机行为较多，成为木马病毒的主要攻击方向。

Android系统的木马病毒系统可分为如下主要特征:

1、获取硬件信息，如IMEI、IMSI等

2、访问特定网站，增加流量或通话费用

3、窃取用户通话及短信信息

4、窃取用户键盘输入的敏感信息

在以上特点中，第三和第四点对手机银行的危险性最大，木马能够窃取客户输

入的用户名、密码以及手机交易码信息，并发送远程服务器。

1、窃取用户通话及短信信息木马介绍

2011年11月，信息安全厂商卡巴斯基发表分析文章，介绍智能手机

ZitMo(ZeuS-in-the-Mobile)木马是如何盗取用户重要数据的。

手机交易码曾被认为是最可靠的网银安全保护措施之一。然而，随着专门针对

智能手机的ZeuS木马出现，特别是ZeuS-in-the-Mobile或ZitMo–mTANs的出

现，手机交易码已不能确保用户的重要数据不会落入网络罪犯的手中。ZitMo于

2010年9月首次被检测到，专门用来盗取由银行发送的短信息中的mTAN代码，也

是迄今为止最受关注的手机安全事件之一。

网络安全专家分析称，“首先，该病毒具有跨平台传播的能力，无论是

Symbian、WindowsMobile、Blackberry和Android系统，都被检测到了这种木

马，其目的主要是将手机交易码短信息转发给网络罪犯(或者是一台服务器)，后者

进而可以利用这些被侵入的银行账户进行非法交易。但是，ZitMo最大的特点是它

与台式计算机木马ZeuS背后的关系。如果没有后者的话，ZitMo仅仅能起到一个

转发短信息的间谍程序作用。而通过它们之间的„团队合作‟，网络罪犯才能成功的

避开保护网银安全所使用的mTAN安全设置。”

这种攻击方式的精心安排通常有以下几个步骤:网络罪犯首先使用台式计算机

版的ZeuS来盗取必要的数据，以便进入网银账户并收集用户的手机号码。受害者

的手机收到一条要求升级安全证书或其它重要软件的短信。事实上，这种短信中的

链接指向的是手机版的ZeuS。如果受害者安装了这种软件，手机就被感染。然

后，网络罪犯可以盗取用户的个人数据，并尝试从受害用户的账户中进行现金交

易，但是这种交易需要提供mTAN代码才能进行。银行发送一条含有mTAN代码的短

信到用户的手机中。ZitMo将这条含有mTAN代码的短信转发给网络罪犯的手机。

网络罪犯使用该mTAN代码完成交易。

与ZitMo相关的攻击，或者类似功能的恶意程序无疑在将来会继续出现，盗取

mTAN代码以及重要的机密数据。因此，智能手机的用户应该牢记一些有关手机安

全方面的准则:经常仔细检查应用程序安装时提示的许可请求;不要root或者“越

狱”你的手机;尽量避免从非官方资源下载程序。如果是从其它的渠道下载安装了

安卓软件，请确保其来源是正规可靠的。不要点击垃圾短信中的URL连接。在手机

中安装可靠的反病毒软件，并保持更新。一旦出现安全补丁程序，请尽快安装。

2、窃取用户手机硬件信息的木马介绍

ADRD木马(又名HongTouTou木马)被植入十余款合法软件中，通过多家论坛、

下载站点分发下载实现大范围传播。其主要行为包括:开启多项系统服务;每6小时

向控制服务器发送被感染手机的IMEI、IMSI、版本等信息;接收控制服务器传回的

指令;从数据服务器取回30个URL;依次访问这些URL，得到30个搜索引擎结果链

接;在后台逐一访问这些链接;下载一个.apk安装文件到SD卡指定目录。感染该木

马的手机将产生大量网络数据流量，从而被收取流量费用。攻击者通过增加搜索链

接的访问量而获益。

3、窃取用户键盘输入信息木马介绍

近日，一款名为CarrierIQ(简称CIQ)的内核级间谍软件被曝光。该软件会

暗中收集用户隐私信息，甚至每按下一个键盘都会被秘密地记录在案。中国不少智

能手机用户，尤其是水货手机用户人心惶惶。

据了解，CIQ原本是一款用来监测手机使用情况的应用程序，它会根据手机使

用情况提供具体数据，以指导手机用户，方便手机生产商提高产品质量和服务

水平。包括苹果、HTC、三星在内的手机制造商，以及AT&T、Sprint、T-

Mobile等运营商都在手机上预装CIQ软件，目前已被预装在全球约1.41亿部手

机中。

但是，不久前CIQ被曝出存在收集用户隐私数据行为，包括用户所处的位置、

键盘录入情况，以及手机运行的程序等都被上传到软件服务器上。虽然CIQ发布声

明称，收集数据不会出售给第三方，而只是用于改善用户的移动网络体验，但依然

由于涉嫌违反美国联邦反窃听法而遭到了美国用户的集体诉讼。苹果也发表声明

称，已经在大多数iOS5设备中停止支持CIQ，并会在未来的软件升级时将其完全

删除。