XLoader和FakeSpy是最近出现在移动威胁领域的两个最为猖獗的恶意软件家族。趋势科技在今年4月份首次对XLoader进行了报道，它在当时使用了域名系统（DNS）缓存中毒/DNS欺骗来侵害用户，通过恶意Android程序窃取PII和财务数据，并安装额外的应用程序。与此同时，趋势科技在6月份发布了关于FakeSpy的调查结果。此前，FakeSpy通过短信钓鱼或SMiShing技术感染了Android用户，从而发起旨在窃取信息的攻击。

截至到10月份，全球共有384,748名Android用户成为了XLoader和FakeSpy攻击的受害者，其中大多数都来自韩国和日本。

图1. 今年XLoader和FakeSpy攻击的每月感染量

在针对XLoader和FakeSpy的初步调查过程中，趋势科技并没有发现它们彼此之间存在任何关联。然而，在最新进行的研究中，趋势科技发现了一些线索。这些线索可能预示着，它们要么是由同一个犯罪团伙负责运营的，要么它们的运营团队之间存在隶属关系。

XLoader和FakeSpy均伪装成一家日本送货上门服务公司的合法应用程序

导致趋势科技认为XLoader与FakeSpy之间存在关联的第一条线索，就是前者在今年6月份被伪装成一家日本送货上门服务公司的合法应用程序。有趣的是，几乎所有的FakeSpy变种也都被伪装成这款应用程序来窃取用户的敏感信息。

深入研究XLoader和FakeSpy的活动，趋势科技了解到它们使用了相同的生态系统来部署恶意软件。在今年7月份，趋势科技使用VirusTotal搜索了一个XLoader样本（bf0ad39d8a19b9bc385fb629e3227dec4012e1f5a316e8a30c932202624e8e0e），发现该样本是从一个恶意域名下载的，而该域名正是以上述送货上门服务公司的名义存在。在一个多月以后，趋势科技分析了一个FakeSpy样本（ba5b85a4dd70b96f4a43bda5eb66e546facc4e3523f78a91fc01c768c6de5c24），发现它是从同一个恶意域名下载的。

图2. VirusTotal显示了来自上述域名的XLoader样本的详细信息

图3.一个FakeSpy样本被发现从同一个域名下载

通过对其他多个XLoader和FakeSpy样本的分析，趋势科技得到了相同的结果。在撰写最新的报告时，趋势科技确定了XLoader和FakeSpy共享的126个用于部署恶意软件的域名。

此外，趋势科技在XLoader和FakeSpy用来隐藏其C＆C地址的方法上也看到了一些相似之处——它们的部分变种均滥用了社交媒体用户的个人资料页面来隐藏其真实的C&C地址。

图4. XLoader在社交媒体用户个人资料页面中隐藏其真实的C＆C地址

图5. IP地址包含在社交媒体个人资料页面中，始终以“^^”开头，以“$$”结尾。启动应用程序后，它将访问该页面并解析内容，以获取真实的C＆C地址。

XLoader和FakeSpy与Yanbian Gang的关联

通过分析XLoader和FakeSpy的代码结构和行为，我们能够将后者的样本与Yanbian Gang的样本联系起来。Yanbian Gang被指是一个中国网络犯罪同伙，因从韩国银行账户持有人手里窃取资金而声名远播。

除了FakeSpy和Yanbian应用程序均针对的是日本和韩国的网上银行用户这一事实之外，趋势科技还了解到，这两个运营团队所使用的恶意软件具有相似的代码：

图6.来自Yanbian Gang应用程序的代码

图7.来自FakeSpy应用程序的代码

图8.来自Yanbian Gang的恶意应用程序（上）和一个FakeSpy样本（下）共享包含受感染设备信息和C＆C服务器路径的类似元数据

WHOIS查询结果显示，FakeSpy和XLoader的共享恶意域名（针对上述日本送货上门服务公司的虚假应用程序）的注册人来自中国。注册人的电话号码似乎来自吉林省，它被认为是Yanbian Gang成员的所在地。

基于在研究过程中收集到的所有信息，趋势科技推测，Yanbian Gang可能与FakeSpy和XLoader存在关联。不过，也可能是两个不同的网络犯罪团伙正在使用相同的服务或基础设施。无论如何，XLoader和FakeSpy的猖獗已经向广大Android用户发出提醒，应该始终遵循移动安全最佳实践。

有关XLoader和FakeSpy的行为、目标、基础设施、攻击媒介以及它们多年来如何演变的更多详细信息，请查看趋势科技的最新研究报告《（XLoader和FakeSpy的演变：两个相互关联的Android恶意软件家族（The Evolution of XLoader and FakeSpy: Two Interconnected Android Malware Families）》。

声明：本文来自黑客视界，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。