摘要移动金融业务持续普及安卓平台银行木马已经成为威胁个人金融资产安全的核心恶意威胁。Manic、Grandoreiro 及其变种、ToxicPanda 2.0 三类主流银行木马代表当前移动端恶意软件的技术演进方向攻击模式已经从单纯窃取账号凭证升级为设备内自动化欺诈、权限持久化、多途径载荷分发、离线环境数据中继外传等复杂能力。本文基于安全行业公开事件材料梳理三类木马家族的攻击链路、技术实现逻辑、传播手段剖析银行木马能够绕过移动终端防护、突破金融应用安全校验的底层诱因分析移动金融生态中终端系统、应用安全、用户行为、风控体系存在的现实短板。反网络钓鱼技术专家芦笛指出当前很多金融机构的风控策略过度依赖后台服务端检测对终端侧恶意软件带来的设备内欺诈风险识别能力不足是此类木马持续造成资金损失的重要诱因。本文结合木马家族的实际攻击特征从终端安全加固、金融应用防护、风控规则迭代、用户安全治理、产业链协同处置多个维度提出风险缓释方案研究成果可为商业银行、支付机构、移动安全厂商应对新一代银行木马威胁提供实务参考。关键词银行木马安卓恶意软件设备内欺诈移动金融安全权限滥用1 引言智能手机普及推动移动银行、移动支付成为社会主流金融服务形态绝大多数金融业务的身份核验、二次验证、交易确认流程均迁移至移动端设备完成。金融机构在服务端构建大量风控模型针对登录 IP、交易时间、交易额度等维度开展风险识别但风险防控的重心长期集中在服务端对手机终端本身被恶意软件劫持的场景重视程度有待提升。传统银行木马的主要目标是捕获用户输入的账号密码将窃取到的凭证回传给攻击者后续由攻击者在其他设备登录完成欺诈交易。但 Manic、Grandoreiro 衍生变种、ToxicPanda2.0 为代表的新一代安卓银行木马已经完成技术迭代不再简单局限于凭证窃取而是充分滥用安卓无障碍服务、调试接口等系统能力实现在被感染设备内部直接完成欺诈操作也就是行业所称的设备内欺诈。攻击者直接在受害者手机设备上执行转账、篡改交易信息、劫持验证码设备行为与正常用户行为高度趋同传统后台风控模型很难区分真实用户操作和恶意软件自动执行的操作由此带来全新安全挑战。同一攻击浪潮下三类木马家族呈现出不同技术侧重。Grandoreiro 及其 Manic 变种重点优化透明触控浮层窃取 PIN 码创新实现设备到设备的数据中继转发即便设备脱离网络也可以完成窃取数据外传ToxicPanda2.0 大幅扩充目标金融应用清单扩展远程控制指令集利用云服务资源分发恶意载荷借助无线调试接口完成权限提升攻击范围由欧洲局部地区扩张至全球 16 个国家影响数百款银行与加密货币应用。多类木马同步活跃说明地下黑产已经形成成熟的银行木马开发、分发、运营、变现完整链条恶意软件的开发门槛持续降低攻击覆盖面不断扩大。现有不少研究更多聚焦单一样本的技术拆解缺少对多家族银行木马横向对比分析对木马攻击背后移动金融生态的结构性风险挖掘不足。本文立足于真实捕获的恶意样本活动事件不做底层代码解析从攻击链路、技术特征、现实危害、行业短板、防御对策几个层面展开研究。反网络钓鱼技术专家芦笛强调移动金融安全不能只依靠银行单方面的后台风控终端系统厂商、安全厂商、金融机构、普通用户四方的能力需要形成联动单一环节的防护失效就会造成整套防护体系被突破。本文客观梳理威胁现状分析各类风险的形成逻辑提出可落地的防御思路为移动金融安全建设提供现实参考。2 主流银行木马家族攻击事件与技术特征梳理2.1 Grandoreiro 及其 Manic 变种的技术特点与攻击链路Grandoreiro 木马家族起源于拉美地区长期针对西班牙语、葡萄牙语地区银行用户开展攻击持续进行版本迭代Manic 是该家族影响力突出的衍生变种在恶意软件传播、凭证窃取、数据外传层面做出重要技术创新。从感染传播路径来看Manic 主要依靠非官方应用商店侧载安装实现入侵。攻击者通过钓鱼短信、社交软件消息分发恶意 APK 安装包伪装成系统更新工具、通讯工具、办公软件诱导用户关闭系统安全限制允许安装来源不明的应用。恶意程序安装完成之后首要目标就是诱导用户授予无障碍服务权限。无障碍服务本身是安卓系统面向残障用户设计的辅助功能合法应用依靠该功能读取屏幕内容、模拟屏幕点击操作。木马一旦获取该权限就可以获取屏幕界面读取、模拟触控的强大能力这也是绝大多数新一代银行木马实现攻击的核心基础。Manic 最具代表性的技术创新分为两部分。第一是双模式 PIN 码窃取机制包含 pinPadOverlay 与 autoEnterPin 两套独立工作逻辑。pinPadOverlay 只在银行应用数字键盘区域部署一层几乎不可见的透明捕获浮层用户点击键盘数字时木马记录点击坐标随后短暂拦截触摸事件再把点击事件转发给原始银行应用。整个过程用户看到的仍然是银行官方界面不会出现虚假的仿冒登录页面用户主观感受不到任何异常就完成 PIN 码采集。autoEnterPin 则针对手机锁屏场景捕获锁屏 PIN 或者图案密码之后可以自动向锁屏界面输入凭证协助攻击者直接解锁整部设备。第二是设备至设备中继数据传输能力。传统恶意软件高度依赖攻击者控制的 C2 服务器一旦中毒手机无法访问互联网恶意软件就无法向外传递窃取到的账号、PIN 码、短信验证码等数据。Manic 引入存储转发中继机制中毒设备把窃取的数据加密保存在本地队列持续扫描周边同样被 Manic 感染的设备。当周边存在其他已感染设备就可以通过设备之间的通信链路把加密数据接力转发出去借助其他设备的网络通路回传至攻击者设备离线的状态下依旧可以完成数据窃取与外传极大提升恶意软件的生存能力增加安全设备检测阻断的难度。完整攻击链路分为四个阶段。第一阶段社会工程分发载荷通过短信、社交渠道投递恶意安装包诱导用户开启未知来源应用安装权限第二阶段权限欺骗恶意程序引导用户授予无障碍服务权限完成恶意能力激活第三阶段凭证采集监测前台运行应用当识别到目标银行 App 启动触发透明浮层捕获 PIN 码同时拦截短信窃取一次性验证码第四阶段数据外传设备联网时直接回传数据离线状态依靠周边感染设备做中继转发攻击者拿到凭证之后实施资金盗取。2.2 ToxicPanda 2.0 木马家族的演进与攻击流程ToxicPanda 最早在 2022 年 7 月被安全研究人员发现早期版本主要面向欧洲地区开展攻击仅针对 16 款银行应用。迭代升级后的 ToxicPanda2.0 发生全方位能力升级攻击范围拓展到全球 16 个国家目标清单覆盖 349 家金融机构对应的应用其中专门针对 140 款银行、加密货币应用设计 PIN 窃取逻辑远程指令数量扩充至 167 条大量此前版本中未生效的控制指令全部实现可用从功能残缺的测试版本演变为成熟完备的移动端欺诈平台Zimperium。载荷分发环节ToxicPanda2.0 出现分发基础设施的变化攻击者把恶意样本托管在亚马逊 AWS 云存储桶当中利用主流云服务商的基础设施承载恶意文件下载。云服务商的域名、IP 信誉度普遍较高传统网络层威胁检测很难直接拦截相关下载请求提升恶意载荷到达受害者手机的概率。恶意安装包运行之后伪装成 VPN 工具诱导用户授予 VPN 相关权限利用获取到的权限干扰谷歌应用保护机制的通信阻止系统安全组件识别恶意载荷随后在本地解密资产文件中封装的真实木马有效载荷完成恶意模块部署安装。权限获取之后ToxicPanda2.0 同样滥用安卓无障碍服务。持续监测前台运行程序对比远程下发的目标应用列表。当受害者打开银行、钱包、加密货币应用就部署透明捕获浮层采集用户输入的 PIN 码。除了金融应用之外该变种还可以在锁屏界面部署虚假覆盖层窃取手机锁屏密码。该木马另一项高危能力是自动化调用安卓无线调试 ADB 接口通过自动化点击操作完成调试功能开启实现权限提升获取设备 shell 命令执行能力进一步扩大对终端的控制范围。在欺诈执行层面ToxicPanda2.0 支持完整的设备内欺诈。攻击者通过远程指令下发任务恶意软件在受害者手机内部模拟用户操作读取短信当中的一次性验证码绕过二次身份校验直接调用银行应用完成转账操作。整个交易行为全部发生在受害用户设备内部操作行为、设备指纹、IP 地址全部属于受害者本人银行后台风控系统识别欺诈行为的难度显著提升。安全厂商监测数据显示该木马已经造成全球超过 4500 台设备感染欧洲、拉丁美洲为受害设备集中区域受害者出现账户非授权转账、设备被锁定等多种受害现象。2.3 Grandoreiro 家族与 ToxicPanda2.0 攻击能力横向对比两类木马家族存在大量共性特征同时具备明显差异化技术取向。共性层面二者均以安卓无障碍服务作为核心能力支点依靠社会工程诱导用户侧载安装恶意程序不以系统漏洞利用作为主要入侵入口把设备内欺诈作为核心攻击目标都具备窃取 PIN 码、拦截短信验证码、持久驻留设备的能力。二者的技术路线差异同样清晰。Grandoreiro Manic 变种重点解决恶意软件离线环境的数据外传难题独创设备间中继转发机制在网络条件受限的场景维持攻击能力浮层技术上专注键盘数字区域局部透明捕获不渲染完整虚假页面。ToxicPanda2.0 更加侧重攻击规模与权限深度拓展依靠云基础设施分发样本目标应用清单大规模扩张借助无线调试接口实现系统层面权限提升拥有规模庞大的远程指令集完整覆盖钓鱼、持久化、设备控制、欺诈交易各类场景更加适合黑产开展大规模全球化攻击行动。两类木马的技术路线分化反映地下黑产的分工变化部分攻击团队专注解决恶劣网络环境下恶意软件生存问题另一部分团队追求攻击覆盖面、规模化运营效率依托公有云基础设施降低攻击运营成本。3 新一代银行木马实现攻击成功的多维诱因分析银行木马能够绕过多层防护完成金融欺诈并不是单一技术漏洞造成是终端系统机制局限、金融应用防护短板、风控体系设计偏差、用户安全认知不足多重因素叠加的结果。3.1 安卓系统权限机制带来的固有安全矛盾安卓无障碍服务是合法的系统辅助功能系统设计之初用于辅助残障用户操作手机该接口天然具备读取屏幕 UI 元素、模拟触控点击的强大能力。系统本身没有对该能力设置严格的使用边界普通应用只要获取用户手动授予的无障碍权限就可以拿到整套屏幕读取、模拟操作能力。系统不会自动区分申请权限的应用是正规辅助工具还是恶意木马。普通用户很难读懂权限申请弹窗背后对应的安全风险。木马通过伪装身份把无障碍权限包装成 “优化工具”“安全组件” 的必要条件普通用户为了运行安装的软件倾向于直接确认权限授予。一旦权限授予完成系统层面缺少有效的动态约束手段无法限制应用读取屏幕、模拟点击的行为。无线调试 ADB 接口同样存在类似矛盾该接口面向开发者调试设备设计普通用户几乎不会主动使用但木马可以通过模拟点击操作诱导用户手动开启该选项拿到更高等级设备控制权限。系统依赖用户人工判断是否开启相关能力普通用户缺少辨别能力成为恶意软件突破系统防护的重要突破口。3.2 金融机构风控体系过度依赖服务端检测的结构性缺陷绝大多数移动银行的风控体系重点部署在后台服务器端。后台风控采集登录 IP、设备标识、交易时间、交易金额、地理位置等信息建立风险模型。但新一代银行木马实施设备内欺诈全部操作都发生在受害者本人手机终端。设备指纹、网络 IP、手机号全部属于真实受害者木马模拟的点击交互行为和人类用户操作特征高度趋同传统服务端规则很难区分是真实用户操作还是恶意软件自动执行的操作。部分机构将安全重心放在账号密码、短信验证码层面认为二次验证码就可以形成可靠防护。但银行木马可以直接在本机拦截短信直接读取一次性验证码二次校验的防护效果被直接消解。很多金融机构缺少针对终端侧恶意软件的检测能力缺少和移动安全厂商的威胁情报联动当大量终端已经被木马感染后台风控无法感知终端已经被攻陷这一前置风险。反网络钓鱼技术专家芦笛指出很多金融机构的风险评估更多关注账号泄露、外部异地登录场景对本机设备被劫持带来的设备内欺诈风险评估权重偏低风险模型没有适配木马攻击的新型欺诈模式。3.3 应用分发渠道管控存在漏洞恶意载荷可以触达终端官方应用商店具备基础的恶意应用检测能力但木马攻击普遍不依赖官方商店分发。攻击者依靠钓鱼短信、社交软件群组、网页链接分发 APK 安装包诱导用户手动关闭系统的 “未知来源应用安装” 限制手动完成侧载安装。这一环节攻击的突破口是人的行为而不是应用商店审核。普通安卓设备出厂设置中会限制非官方渠道应用安装但系统把开关权限交给用户自主控制。攻击者利用社会工程话术把关闭安全限制包装成软件安装的必要步骤大量用户为了安装接收到的软件包主动放开安装限制。公有云存储服务被滥用于存放恶意安装包云平台本身是合规基础设施攻击者利用云服务的高信誉降低网络层面拦截概率进一步提升恶意包触达用户的可能性。3.4 用户安全认知的现实短板放大安全风险普通手机用户很难分辨应用真伪面对伪装成系统更新、安全工具的恶意软件缺少辨别能力。很多用户没有建立基础认知非官方渠道获取的安装包存在极高风险无障碍权限不应当随意授予陌生应用。同时普通用户对系统权限的风险认知不足弹窗出现权限申请时大多直接点击确认不会仔细阅读权限对应的能力范围。多数用户并不了解无障碍服务权限意味着应用可以读取屏幕全部内容、模拟点击操作。当木马把权限包装成正常业务运行条件用户很容易完成授权给恶意软件提供运行基础。即便系统给出安全风险提示很多用户出于完成软件安装的目的选择忽略系统警告。4 当前移动金融安全体系面对新一代银行木马的现实短板结合 Manic、Grandoreiro、ToxicPanda2.0 的实际攻击活动能够看到整个移动金融安全链条中系统厂商、金融机构、安全产业、用户端都存在明显短板这些短板相互叠加造成木马攻击持续得手。4.1 系统层面对高风险权限缺少动态管控能力安卓系统对于无障碍服务、无线调试这类高风险权限仅提供 “授予 / 拒绝” 二元选择缺少精细化的权限管控机制。一旦用户授予权限恶意应用就可以无限制使用该能力系统不会对应用的行为做持续审计和动态限制。系统安全组件可以识别部分已知恶意样本但对于变种迭代后的新样本特征库存在滞后无法及时拦截。针对侧载安装行为系统只能给出风险弹窗没有手段阻止用户主动放开安装限制。系统安全防护更多聚焦已知恶意样本对于滥用合法系统接口开展恶意行为的程序识别难度很高。恶意木马本身不包含传统病毒特征只是滥用系统开放能力传统静态查杀手段很难生效。4.2 金融 App 终端防护能力建设不均衡部分银行应用将安全工作重心放在服务端客户端层面防护投入不足。客户端缺少对无障碍服务被陌生应用占用的感知与提示。当手机当中存在恶意程序获取无障碍权限银行 App 运行过程中没有向用户发出风险告警。部分金融应用缺少对屏幕覆盖层风险的检测逻辑。Manic、ToxicPanda2.0 使用透明浮层采集输入银行客户端无法识别上层存在恶意捕获层。交易确认环节完全信任本机输入的 PIN 码没有针对本机环境风险做前置校验。一旦终端被木马攻陷客户端层面没有有效的阻断手段。4.3 跨主体威胁情报协同机制不足银行木马威胁横跨终端系统厂商、移动安全厂商、云服务商、金融机构多个主体。安全厂商捕获木马样本、攻击特征之后情报流转到金融机构存在延迟。金融机构掌握大量欺诈交易数据却很难反向输出给安全厂商用于恶意行为识别。云服务商基础设施被用于存放恶意 APK恶意文件被发现之后的处置存在时间窗口在完成文件下架之前大量用户可以完成下载。不同机构之间缺少常态化情报共享威胁信息孤岛现象突出无法形成联防联控的效果。4.4 用户安全教育内容与现实威胁存在脱节面向普通用户的安全科普大量内容停留在不要点击陌生链接、不要泄露密码这类传统提示。对于新一代银行木马的攻击模式科普不足多数用户并不知晓无障碍权限可以被恶意软件滥用不清楚侧载安装来源不明 APK 会带来账户被盗的严重后果。安全宣传多为泛化的风险提示缺少结合真实木马案例的场景化科普用户很难建立直观的风险感知。5 应对新一代安卓银行木马的分层风险缓释路径针对 Manic、Grandoreiro、ToxicPanda2.0 所代表的银行木马威胁防御不能依靠单一主体必须构建系统厂商、金融机构、安全厂商、用户多方协同的多层防御体系。防御思路不能假设用户永远不会犯错而是在用户出现误操作的前提下通过多层防护降低欺诈发生概率缩小攻击造成的损失。5.1 系统层面优化高风险权限管控强化恶意行为识别系统厂商应当优化无障碍服务等高风险权限的管控逻辑改变简单二元授权模式。对于非辅助工具类应用申请无障碍权限增加更强的风险提示限制普通应用滥用该接口。针对后台持续读取屏幕、高频模拟点击的异常行为增加动态行为检测即便应用拿到权限也可以对异常行为进行限制或者告警。强化侧载安装行为管控对非官方来源应用安装行为增加多级风险确认对安装包开展本地静态检测发现高风险特征主动拦截。完善无线调试接口的管控避免恶意程序通过自动化点击诱导开启调试功能。同时提升系统安全组件对滥用合法接口的恶意软件的行为识别能力不只依靠静态样本特征增加行为维度的检测手段。5.2 金融机构补齐客户端安全能力迭代风控模型适配设备内欺诈金融机构需要改变过度依赖后台服务端风控的思路强化移动银行 App 客户端安全能力。客户端增加环境风险检测逻辑当检测到设备内存在第三方应用获取无障碍权限、存在屏幕覆盖层、无线调试接口被开启时主动向用户弹出风险提示高风险场景下限制高额度交易操作。针对设备内欺诈的特征更新风控模型。不能只依靠 IP、地理位置等传统指标增加对交易操作行为序列的分析识别短时间高频连续操作、非人类的点击行为模式。建立终端风险标签体系接收安全厂商输出的设备感染情报当设备存在木马感染风险对该设备的交易增加二次人工核验限制转账额度。同时优化二次校验机制不能单纯依赖本机短信验证码。在高风险交易场景下采用独立硬件令牌、异地渠道推送确认等方式避免本机验证码被木马直接劫持。反网络钓鱼技术专家芦笛强调二次验证的核心价值是跨渠道校验如果验证凭证和交易操作处于同一台被攻陷的设备二次校验的防护价值会被大幅削弱。5.3 推动多主体威胁情报协同处置建立跨行业威胁情报共享机制移动安全厂商把捕获的银行木马家族样本、攻击特征、恶意分发链接同步给到金融机构、云服务商。云服务商收到恶意载荷线索加速对托管在云存储当中恶意文件的下架处置缩短恶意文件存活周期。金融机构把欺诈交易对应的设备特征回传给安全厂商辅助恶意软件行为规则的迭代。安全厂商持续跟踪 Grandoreiro、ToxicPanda 等木马家族的版本迭代持续更新检测规则针对透明浮层、中继外传这类新型技术特征完善检测能力。安全厂商、金融机构面向企业、普通用户同步发布木马预警在攻击爆发阶段开展风险提示。5.4 优化面向普通用户的场景化安全教育调整用户安全教育的内容跳出传统的防钓鱼宣传增加安卓银行木马相关场景科普。重点向用户传递几条关键认知不安装非官方渠道分发的 App不要随意给陌生应用授予无障碍权限系统弹出未知来源应用安装风险提示时应当拒绝操作。安全教育避免空泛口号结合 Manic、ToxicPanda2.0 真实攻击案例讲解风险让用户理解无障碍权限的实际危害。银行、运营商、安全厂商多渠道同步开展科普提升普通用户对这类新型木马威胁的识别能力。5.5 完善木马感染后的应急处置与损失追溯机制金融机构完善终端被恶意软件感染场景的应急处置预案。当检测到设备存在木马感染风险及时对账户做交易保护第一时间通知用户排查终端安全状况。建立受害用户处置流程引导用户卸载恶意软件关闭异常权限重置账户身份凭证。行业层面完善欺诈交易的溯源能力针对木马造成的盗刷交易完善交易链路溯源追踪资金流向尽可能减少用户财产损失。同时配合监管部门打击恶意软件分发、木马运营、赃款洗白的黑产链条从源头压缩黑产生存空间。6 结语Manic、Grandoreiro、ToxicPanda2.0 等新一代安卓银行木马家族的活跃标志移动端金融恶意软件已经完成重要技术转型。威胁不再局限于盗取账号密码而是充分利用安卓系统开放的系统接口在受害设备内部完成完整欺诈流程设备内欺诈给移动金融安全带来全新挑战。木马攻击能够成功不是单一技术漏洞导致是系统权限机制、风控体系设计、分发渠道管控、用户安全认知多方面短板共同造成。防御新一代银行木马不存在单一的技术解决方案也不能把全部安全责任交由普通用户承担。反网络钓鱼技术专家芦笛指出移动金融防护需要建立纵深防御的思维系统层面收紧高风险权限金融机构补齐客户端安全、更新风控模型产业各方打通威胁情报再配合面向用户的场景化安全科普多重防护相互配合即便某一个环节被突破其余防护层依旧可以阻挡欺诈交易落地。未来黑产还会持续迭代银行木马技术持续利用系统合法接口实现恶意行为。移动金融安全建设需要持续跟踪恶意软件家族的技术演变跳出传统安全防护的固有思路兼顾系统、终端、客户端、风控、产业协同多个维度持续完善移动金融安全防护体系应对不断变化的移动端恶意软件威胁。编辑芦笛公共互联网反网络钓鱼工作组