假借武汉肺炎最新资讯名义为诱饵，间谍软件锁定两大行动装置平台收集各式资料

正当全球各地处于武汉肺炎暴发的状态，骇客大肆发动以疫情为诱饵的攻击行动，其中最常被提及的莫过于钓鱼电子邮件。不过，最近也有恶意软件打着肺炎资讯更新（Coronavirus Update）的名号，实际上却是暗中收集手机个资的间谍软件。趋势科技于3月底，发现一起网络间谍行动，骇客利用名为Project Spy的恶意软件感染Android与iOS行动装置，然后执行监听通话内容与收集受害者个资，包括通话记录、位置资讯，以及社交App传送的讯息等资料。

骇客将上述的恶意软件包装在一款叫做Corona Updates的App，这个应用程序在巴基斯坦、印度、阿富汗、孟加垃、伊朗、沙特阿拉伯、奥地利、罗马辄亚、格瑞纳达，以及俄罗斯等地，都有少量使用者下载。趋势科技因为骇客的后台管理系统上，登入画面有Project Spy的文字，便以这组字串来称呼攻击者使用的恶意软件。

趋势科技找到骇客所使用的管理后台登入网页，并以页面上的Project Spy来称呼骇客的攻击工具。

趋势科技发现，Corona Updates会要求数种系统权限，包含能存取通知的内容，以及能够读取外部的储存装置等。其中前者可让这个App从手机的通知里，窃取即时通讯软件的讯息，除此之外，它还会收集手机的各种用户资料，像是受害人的通话记录和联络人资料、语音备忘录，以及简讯与社群软件的讯息等，也会收集装置资讯的延伸清单，还有SIM卡的资讯，以及无线网络的SSID和MAC位址等。

这款名为Corona Updates的App，标榜功能是提供武汉肺炎更新情报（Coronavirus Update），然而首次执行会要求受害者7项权限，像是如图中要求能够存取并传送简讯的能力。

从App的程式码片段中，这款Corona Updates会收集多款社群软件的讯息，包含了脸书、WhatsApp、Telegram，以及Threema等App的内容。

虽然Corona Updates在多个国家都有被下载的情况，但是次数并不多，探究其中的原因，趋势科技认为应该与App有部分功能会出现错误有关，因此研判攻击工具并不成熟，尚在开发的阶段。他们推测，骇客散布这款App的动机，有可能是拿来测试特定的攻击手法，或者打算等到App到达特定的下载量，才进一步采取其他的攻击行动。

另一方面，趋势科技解析程式码后，发现攻击者仅是业余骇客，其中iOS版的程式码并不完整，很有可能是向他人买来后再加入其他功能。但该公司认为使用者不能因此掉以轻心，在Goolge Play商城与苹果App Store下载应用程序，还是要详加检查，使用者可借由执行画面的截图、开发者宣称的功能、应用程序权限需求，以及其他用户评论等层面，来判断应用程序是否有问题。