Cyble Research & Intelligence Labs (CRIL)的研究人员发现了一个名为 Godfather 的新版 Android 银行木马。
新版教父使用的图标和名称类似于名为 MYT Music 的合法应用程序，该应用程序托管在 Google Play 商店中，下载量超过 1000 万次。
历史
IB 组研究人员 确定教父是阿努比斯的继任者。Anubis 是一种广泛使用的 Android 银行木马，在其功能受到 Android 更新和安全供应商的检测和预防工作的限制后失去了流行。
Godfather 的成功主要归功于它能够为 400 多个应用程序创建令人信服的重叠屏幕。这种使用临时屏幕或伪造的网络，基本上是由威胁行为者创建的 HTML 页面，显示在合法应用程序上。这允许威胁行为者获取银行应用程序和其他金融服务的登录凭据。目标应用程序包括银行应用程序、加密货币钱包和加密货币交易所。
银行木马最流行的目标应用程序位于美国（49 家公司）、土耳其（31 家）、西班牙（30 家）、加拿大（22 家）、法国（20 家）、德国（19 家）和英国（17 家） ). 木马会检查受感染设备的系统语言，如果是以下语言之一，则会关闭：俄语、阿塞拜疆语、亚美尼亚语、白俄罗斯语、哈萨克语、吉尔吉斯语、摩尔多瓦语、乌兹别克语或塔吉克语。
安装
一些新的教父样本被发现伪装成用土耳其语编写的 MYT Müzik 应用程序。安装后，它使用的图标和名称与名为 MYT Music 的合法应用程序非常相似。MYT Music 是一款流行的应用程序，安装量超过 1000 万。
获取权限
为了获得必要的权限，木马伪装成 Google Protect，这是所有 Android 设备上的标准安全工具。它假装启动扫描并要求用户访问辅助功能服务。这对用户来说很有意义，因为他们认为应用程序会扫描设备。通过访问辅助功能服务，木马可以授予自己从受影响设备窃取信息所需的所有权限。
能力
一旦完全激活，Godfather 就会窃取敏感数据，例如 SMS 消息、基本设备详细信息（包括已安装的应用程序数据）以及设备的电话号码。它还可以控制设备屏幕、转发受害者设备的来电以及注入银行 URL。该特洛伊木马能够在不使用拨号器用户界面的情况下通过拨打 USSD（非结构化补充服务数据）来启动汇款
它将收集到的数据发送给攻击者。反过来，谁现在知道安装了哪些应用程序，并且可以注入 HTML 钓鱼页面，如果受害者安装了模仿的应用程序，这些页面是最有效的。命令与控制 (C2)服务器的URL 是从 Telegram 频道获取的。
国际奥委会
对于伪装成 MYT Muzik 应用程序 CRIL 的变体提供：
APK元数据信息
应用程序名称：MYT Müzik
包名：com.expressvpn.vpn
SHA256 哈希：138551cd967622832f8a816ea1697a5d08ee66c379d32d8a6bd7fca9fdeaecc4
Malwarebytes for Android将教父木马的这些新变种检测为Android/Trojan.Spy.Banker.MYT。
如何避免恶意软件
有一些基本准则可以帮助您防止在您的设备上安装恶意软件。
仅从 Google Play Store 或 iOS App Store 等官方应用商店下载和安装软件。并检查您正在下载的应用程序是否正是您想要的，而不是某个模仿者。
在您的连接设备（如个人电脑、笔记本电脑和移动设备）上使用知名的防病毒/反恶意软件和互联网安全软件包。
尽可能使用强密码并强制执行多重身份验证 (MFA) 。
如果可能，启用指纹或面部识别等生物识别安全功能来解锁移动设备。
在打开通过短信或电子邮件发送到您手机的任何链接之前，请务必小心。
确保在 Android 设备上启用了 Google Play Protect。
启用任何权限时要小心。仔细阅读允许应用程序执行的操作有助于标记异常和可疑请求。
我们不只是报告威胁——我们删除它们
网络安全风险永远不应传播到标题之外。立即下载 Malwarebytes，让威胁远离您的设备。
