冒充系统更新的新的高级Android恶意软件

　　最近几周，Zimperium zLabs研究人员发现了不安全的云配置，从而在数千种合法的Android和iOS应用程序中暴露了用户数据。现在，zLabs正在为Android用户提供有关聪明和恶意的新Android应用的建议。
　　该最新恶意软件采用系统更新应用程序的形式，旨在窃取整个Android手机上的数据，图像，消息和篡改控制权。取得控制权后，攻击者可以记录音频和电话，查看浏览器历史记录，拍照并访问WhatsApp消息以及其他活动。
　　zLabs研究人员在检测到由支持zIPS设备检测功能的z9恶意软件引擎标记的应用程序后，发现了该所谓的System Update应用程序。一项调查显示，此活动可以追溯到具有复杂功能的高级间谍软件活动。研究人员在与Google确认该应用程序不存在或计划在Google Play上发布后，达成了交易。
　　借助广泛的入侵功能，此恶意软件可以使用root用户从即时通讯系统及其数据库文件中窃取消息，检查默认浏览器的书签和搜索，检查来自Google Chrome，Mozilla Firefox和Samsung Internet浏览器的书签和搜索历史记录，搜索具有特定扩展名.doc，.docx，.pdf，.xls和.xlsx的文件；检查剪贴板数据和通知内容，通过前置或后置摄像头定期拍照，查看已安装的应用程序，窃取图像和视频，通过GPS进行监控，窃取电话联系人和SMS消息以及通话记录，并泄露设备信息，例如设备名称和存储数据。此外，恶意软件甚至可以通过从设备菜单中隐藏其图标来隐藏自身。
　　从非Google第三方应用商店安装后，该恶意软件通过在Firebase命令与控制（C＆C）上运行来工作，这些应用以＂更新＂和＂ refreshAllData＂的名称列出。为了增强其合法性，该应用程序包含功能信息，例如WhatsApp的存在，电池百分比，存储统计信息，Internet连接类型和Firebase消息服务令牌。一旦用户选择＂更新＂现有信息，应用程序就会渗透到受影响的设备中。分发后，C＆C会接收所有相关数据，包括新生成的Firebase令牌。
　　当Firebase通信发出必要的命令时，专用的C＆C服务器使用POST请求来收集被盗的数据。触发应用程序渗透的值得注意的操作包括添加新联系人，通过Android的contentObserver安装新应用程序或接收新SMS。