移动支付安全的风险与防御

移动支付安全威胁与防御

DennyLu(陆兆华)

DennyLu@

全现状

目录 1.手机安

2.典型支4.小结

付类病毒

分析

3.安全防

御方案

1

手机安全

现状

2013年的手机安全大形势 手机病毒数 2011年 2.5万

2012年 17.7万

2013年 79.3万

中毒用户数 2012年 2013年

0.35万 1.08亿 手机病毒与中毒用户在疯狂增长中……

2

典型支付类

病毒分析

支付类病毒与感染用户发展情况 截至2014年Q1（安卓）：

黑样本包数

107.19万 支付相关黑样本包数 8.28万 （占总体黑样本 7.72%） 支付类病毒感染用户数 1126.75万 手机病毒感染用户数

16763.34万 （占总感染用户数6.72%） （用户数为月内去重，月间不去重）

（以APK 的哈希值去重）

支付类病毒可能的危害行为

•伪造软件

•伪造顶层窗口

•监听、转发、删

除短信

•监听键盘输入

•DNS劫持(广告拦

截)

•恶意程序注入(外

挂)

•读取APP的数据

文件(手Q目录、

支付类APP目录

手机支付病毒发展四阶段：第一阶段

二次打包仿冒程序

验证码转发

监控诱导

Step 1

Step 2

Step 3

•简单的移动支付APP的病毒，如“银行

鬼手”、“银行扒手”、“银行毒手”等

病毒，危害性比较小；

•简单仿冒移动支付类APP，如“伪

淘宝”病毒，简单的诱导输入并转发

淘宝的帐户与密码；

•个案化传播，以监控支付类验证码的病

毒，来配合窃取支付里的金额的病毒，如

“盗信僵尸”、“短信窃贼”病毒等；

Step 4

爆发迄今为止最厉害的手机支

付类病毒“银行悍匪”，直接

监控20多个手机银行的APP，

窃取帐号、密码等信息。

可预见 2014年将会是手机支付病毒集中爆发的一年

简单的二次打包支付类相关的病毒 官方的支付类软件安装包

Smali 代码 病毒或广告代码

被嵌入病毒或广告的安装包 反编译 嵌入

重新编译并打包

重新签名

第一步 第二步

第三步

第四步

这个阶段的二次打包，不一定是针对盗取支付类的相关信息的病毒，可能是其他方面的病毒或广告软件。

手机支付病毒发展四阶段：第二阶段

二次打包仿冒程序

验证码转发

监控诱导

Step 1

Step 2

Step 3

•简单的移动支付APP的病毒，如“银行

鬼手”、“银行扒手”、“银行毒手”等

病毒，危害性比较小；

•简单仿冒移动支付类APP，如“伪

淘宝”病毒，简单的诱导输入并转发

淘宝的帐户与密码；

•个案化传播，以监控支付类验证码的病

毒，来配合窃取支付里的金额的病毒，如

“盗信僵尸”、“短信窃贼”病毒等；

Step 4

爆发迄今为止最厉害的手机支

付类病毒“银行悍匪”，直接

监控20多个手机银行的APP，

窃取帐号、密码等信息。

可预见 2014年将会是手机支付病毒集中爆发的一年

手机支付病毒发展四阶段：第三阶段

二次打包仿冒程序

验证码转发

监控诱导

Step 1

Step 2

Step 3

•简单的移动支付APP的病毒，如“银行

鬼手”、“银行扒手”、“银行毒手”等

病毒，危害性比较小；

•简单仿冒移动支付类APP，如“伪

淘宝”病毒，简单的诱导输入并转发

淘宝的帐户与密码；

•个案化传播，以监控支付类验证码

的病毒，来配合窃取支付里的金额的病

毒，如“盗信僵尸”、“短信窃贼”病

毒等；

Step 4

爆发迄今为止最厉害的手机支

付类病毒“银行悍匪”，直接

监控20多个手机银行的APP，

窃取帐号、密码等信息。

可预见 2014年将会是手机支付病毒集中

爆发的一年

病毒家族数

占80%

转发验证码的病毒危害：社会工程学诈骗

张先生是做家具定制生意的，近几年生意越做越大，他

也开了一家网上旗舰店，双十一期间生意特别好。

“前几天，有个人说他家里要装修，想定制些家具。那

个人就和其他前来咨询的客人一样，没什么特别。”张先生

每次回想这个事情，都特别懊悔。

“只是聊着聊着，那个买家突然说，他在外面，手机流

量有限发不了那么多图，让我扫描一个二维码，下载后可以

看到他想要的家具的图片和尺寸。”张先生说，“现在都流

行扫一下二维码，我之前扫描过，很方便，就拿手机扫了一

下。但是扫描后，我啥也没看到。”

“后来我又和买家沟通了一会，他说先付些订金，问我要了

姓名、身份证、银行卡、手机号等信息，说晚上回到家再汇

款就下线了。”

晚上，张先生登录网银，看看买家的订金到账没有，却震惊

地发现银行卡内少了好几万。张先生马上意识到自己被盗了，

赶紧冻结了银行卡并向警方报案。

收到二维

码扫描二维

码

安装

程序

支付帐号关联

金额被盗

共同案情回放：IM套取

信任套取身份

证信息发送文件

或链接

用户接收

或下载