FireScam 行動惡意軟體：偽裝成 Telegram Premium 的欺騙性威脅

具有隱藏議程的詐欺應用程式

FireScam 是一種基於 Android 的資訊竊取威脅，偽裝成 Telegram 訊息應用程式的高級版本。它偽裝成合法的，旨在危害設備並洩露敏感的用戶資料。這種欺騙性軟體透過模仿俄羅斯廣泛使用的應用程式市場 RuStore 的網路釣魚網站進行分發。透過利用這種偽裝，該威脅會誘使毫無戒心的用戶安裝它，並相信他們正在獲得增強的訊息體驗。

多階段滲透過程

一旦安裝，FireScam 就會遵循結構化的感染路徑，從有助於傳遞其主要有效負載的滴管應用程式開始。負責分發其內容的網路釣魚網站將自己偽裝成真實的 RuStore 平台，使用戶很難區分真實來源和欺騙性來源。最初的應用程式標記為“GetAppsRu.apk”，它充當載體，為隨後的惡意活動奠定了基礎。

該植入程式請求多個權限，其中一些權限允許其修改儲存、安裝或刪除應用程序，甚至控制更新。一項特別令人關注的功能是它能夠聲明自己是更新其組件的唯一權威，從而防止合法的安全性修補程式幹擾其運作。這種持久性機制可確保惡意應用程式保持活動狀態並抵抗外部刪除嘗試。

廣泛的數據收集能力

一旦嵌入設備中，FireScam 就可以進行廣泛的監控。它的功能包括監視通知、捕獲訊息以及從其他已安裝的應用程式收集資訊。它將收集到的資料系統地傳輸到 Firebase 即時資料庫，確保操作員能夠持續存取被盜的使用者詳細資訊。此外，FireScam 還會追蹤各種設備活動，包括螢幕狀態變化、剪貼簿內容、電子商務交易和用戶交互，從而擴大了它可以攔截的敏感資料的範圍。

另一個令人擔憂的功能是它能夠從受害者那裡提取登入憑證。啟動後，流氓 Telegram Premium 應用程式會提示用戶授予對其聯絡人、通話記錄和簡訊的存取權限。然後，它會顯示官方 Telegram 登入頁面的 WebView 實例，誤導使用者輸入其憑證。即使沒有嘗試登錄，FireScam 也會啟動資料收集，這凸顯了其積極收集資訊的方法。

與遠端操作員的秘密通信

為了維持對受感染設備的遠端控制，FireScam 採用了多個通訊通道。它註冊一項服務來接收 Firebase Cloud Messaging (FCM) 通知，從而允許其遠端執行命令。此外，它還與其命令和控制（C2）基礎設施建立WebSocket連接，確保不間斷的資料傳輸並根據操作員指令進行後續操作。

混淆技術對其設計也至關重要。 FireScam 採用策略來逃避偵測，讓安全工具更難以辨識和緩解其存在。這些技術與遠端接收更新和命令的能力相結合，使威脅能夠長時間保持活動狀態，從而最大限度地造成損害。

FireScam 的更大影響

FireScam 的出現凸顯了基於行動的威脅日益複雜以及它們對基於網路釣魚的分發方法的依賴。透過冒充可信任應用程序，它利用用戶信任來促進感染。使用假冒應用程式商店進一步提高了其可信度，使得毫無戒心的個人檢測起來變得更加困難。

FireScam 資料收集工作的範圍也引發了人們對隱私和財務安全的擔憂。透過存取通知、訊息和登入憑證，受影響的個人可能容易受到未經授權的帳戶存取、欺詐性交易和進一步的針對性攻擊。操縱應用程式安裝和更新的能力也意味著營運商可以隨意部署其他有害軟體。

預防 FireScam 感染

鑑於其欺騙性，下載應用程式時需要保持警惕，以避免 FireScam。用戶應僅安裝來自 Google Play 等官方來源的軟體，並避免使用第三方商店或透過未經驗證的管道收到的連結。在授予存取權限之前檢查異常權限請求也至關重要，因為許多合法應用程式不需要對裝置功能進行廣泛控制。

安全研究人員尚未確定 FireScam 分發管道的全部範圍，但懷疑存在網路釣魚和惡意廣告策略。這意味著用戶應該警惕未經請求的訊息，並避免點擊提示應用程式下載的未知連結。

隨著網路威脅不斷發展，了解 FireScam 等欺騙性應用程式的運作方式是維護行動安全的關鍵。透過識別警訊並採取謹慎的瀏覽習慣，用戶可以降低遇到此類詐騙計畫的風險。