ESET揭露可窃取安卓手机密码的恶意程式 伪装成加密货币交易平台

安全业者ESET近日揭露了两款Android恶意程式，可借由取得"通知存取"（Notification access）许可权来窥探装置上所收到的通知，包括一次性密码（One-time password，OTP）在内。

ESET表示，自从Googe在今年1月限制了Android程式存取简讯（SMS）与通话纪录（Call Log）许可权的能力之后，那些专门窃取凭证的恶意程式就更难滥用这些许可权来绕过基于简讯的双因素认证（two-factor authentication，2FA）机制了。

不过，最近发现了两款伪装成土耳其加密货币交易平台BtcTurk的Android程式，却是借由通知存取许可权来绕过基于简讯的2FA机制。

这两款程式分别是BTCTurk Pro Beta与BtcTurk Pro Beta，名称非常相近，只有大小写的不同，且所使用的手法类似，但却是由不同的开发人员所打造。

在安装了BTCTurk Pro Beta之后，它会先向使用者取得通知存取的许可权，该许可权允许行动程式读取手机上所跳出的通知，包括来自其它程式的通知，还能关闭通知，或是点选通知上的按键。

Google是自Android 4.3（Jelly Bean）开始提供通知存取许可权，因此大约有9成的Android装置都支援该许可权。

一旦使用者许可了该许可权，随之便会出现要使用者输入BtcTurk凭证的假登入视窗，但在使用者输入之后，它便推说暂时无法提供服务，但事实上却已经将使用者的凭证传送到骇客的服务器上。

再来该程式就会把手机屏幕上出现的通知都传送到自己的服务器上，包括利用简讯或电子邮件传送的OTP在内，由于它还可以关闭通知，或是将通知设为静音，得以避免使用者察觉诈骗交易。

ESET是在今年6月才发现这两款恶意程式，也在它们各自的安装数量都不到50的时候，就通知Google并将它们移除，安全专家建议使用加密货币或金融程式时，最好再三确认它来自官方网站，以软件或硬件的OTP产生器，来取代以简讯及邮件来传送OTP，也不要随意允许程式取得通知存取许可权。

资料来源：iThome Security