http://www.paynews.net/portal.php?mod=view&aid=27215#comment 二维码染毒增长最快 近700万用户感染支付类病毒 2014-7-25 07:57|来自: 中国安全网 摘要: 随着手机网民规模突破5.27亿，手机安全也成为安全厂商日益关注的问题。昨日，腾讯移动安全实验室发布了《2014年上半年手机安全报告》，显示手机支付类病毒进一步蔓延，上半年感染手机支付类病毒用户数达到693.4 ... 你所不知道的随行付 随着手机网民规模突破5.27亿，手机安全也成为安全厂商日益关注的问题。昨日，腾讯移动安全实验室发布了《2014年上半年手机安全报告》，显示手机支付类病毒进一步蔓延，上半年感染手机支付类病毒用户数达到693.4万，最近流行的二维码也成为增长最快的染毒渠道。 手机支付病毒勾结钓鱼短信盗刷资金 中国互联网络研究中心CNNIC第34次《中国互联网络发展状况统计报告》显示，手机支付用户规模上半年的增长率高达63.4%，使用率由2013年底的25.1%增至38.9%。而腾讯移动安全实验室报告显示，2014年上半年，腾讯手机管家截获支付类病毒包数达到82635个，上半年感染手机支付类病毒用户数达到693.4万。而手机支付病毒与钓鱼短信的结合，也成为诈骗分子惯用的伎俩。 2014年上半年，市民唐女士收到一个 10086发来的短信，提醒她有积分可以兑换，并要求唐女士通过短信中的网址输入自己的银行账号、身份证号、手机号等信息，并下载一个APP安装至手机。唐女士按要求完成操作后，收到多条来自某电商网站的购物短信验证码，但并未理会。事后，唐女士查看银行账户发现，被盗刷了2589元。 事实上，这正是手机支付病毒和钓鱼短信勾结起来盗刷用户资金。通过伪基站伪装成10086，群发积分兑换现金的诈骗短信内置钓鱼网址，用户收到信息登录钓鱼网站并填写用户信息后，会被诱导安装一个带有手机病毒的APP。当用户安装了手机支付病毒后，病毒会在后台启动，并监听用户短信内容，将带有手机支付验证码的短信转发到指定号码，然后通过第三方支付发起快捷支付盗刷用户银行卡。 二维码成增长最快染毒渠道 在上半年的手机病毒来源渠道中，电子市场和手机论坛依然占据了绝对的主导地位，分别占据了21%和20%的来源比例，软件捆绑以18%的比例位居第三。目前，不少恶意软件开发者通过在热门游戏或者美女视频类软件中植入广告或恶意代码，继而上传至手机论坛提供给用户下载，大部分手机用户由于无法辨别官方版与山寨版，很容易下载并安装导致手机染毒。 值得注意的是，上半年二维码的使用已经相当普遍，而制毒者和制毒机构也进一步利用该渠道传播恶意软件与恶意网址链接，用户刷码后往往会安装恶意扣费软件或隐私窃取等病毒，这种情况日趋严峻。二维码的病毒传播比例已达到9%。 腾讯安全实验室提醒用户在扫码的时候要留意扫码后操作提示，警惕非预期的软件(APP)下载类或钓鱼类(个人敏感信息收集网页)二维码;用户最好安装具备二维码恶意网址拦截的手机安全软件进行防护，或者安装带有安全识别的二维码工具进行二维码扫描，可降低因扫描二维码而带来的染毒风险。 球迷中招世界杯赌球钓鱼诈骗 此外，在世界杯期间，与世界杯相关的大量手机应用遭遇手机病毒袭击，针对手机用户的各种世界杯赌球钓鱼诈骗也大量浮现，球迷用户纷纷中招。 据悉，世界杯赌球类钓鱼诈骗短信附带了相关恶意链接，以“首入500送500”、“存1000送2000”等方式诱惑用户参与进入这些假冒世界杯投注网站，用户一旦点击这类钓鱼网址链接，往往会跳转到恶意赌球类手机钓鱼网站。一旦用户注册填写个人信息及银行信息后，网站就会在第一时间将信息发送到不法分子账户。这些钓鱼类赌球网站其实是高度仿真赌球游戏，并切合世界杯当前的实际赛事情况，使球迷打破顾虑，不断转账充值。一旦球迷试图提现，会出现提现故障，或由客服电话引导用户进入下一轮诈骗，比如欺骗中招球迷下载木马劫持手机银行盗取更多资金。 除此之外，与世界杯相关的大量手机应用遭遇手机病毒袭击，世界杯看视频、看新闻、世界杯游戏等应用都成为滋生病毒的温床。用户应提高警惕，下载安装手机安全软件，定期进行病毒查杀和手机体检。
事实上，这正是手机支付病毒和钓鱼短信勾结起来盗刷用户资金。通过伪基站伪装成10086，群发积分兑换现金的诈骗短信内置钓鱼网址，用户收到信息登录钓鱼网站并填写用户信息后，会被诱导安装一个带有手机病毒的APP。当用户安装了手机支付病毒后，病毒会在后台启动，并监听用户短信内容，将带有手机支付验证码的短信转发到指定号码，然后通过第三方支付发起快捷支付盗刷用户银行卡。 这个就和我说的那个快捷支付授权安全漏洞密切有关！而二维码并不是原因，只是一个诱因！
这个还真和智商没多少关系。 大部分手机APP都有读取联系人和短信等手机信息的功能，只是平常大家不注意而已，你看手机APP的权限里几乎都有类似的权限的。比如你使用手机网银和支付宝等APP时，当来短信动态验证码的时候，手机网银和支付宝APP里会直接提示你短信里来的动态验证码，那时你会觉得很方便（不需要切换到短信栏目就可以看到来的短信动态验证码了），其实类似的应用也可以被非法的获取并将你的短信验证码传送出去的！ 虽然我说的那个快捷支付授权的安全漏洞不会直接导致马上你就损失，但潜在的是每个人都可能在某些特定的情况下受害！ 再说个题外话，那个苹果公司的Touch ID，不管苹果公司怎么说它多先进和安全，但那个古老的利用“指模”破解的演示的披露，其实也就标志着苹果Touch ID的安全些并不怎么样，因为对于”黑客“来说，”指模“破解已经足够了，安全问题就象水桶理论——取决最短的木板。现实社会里”安全“的获取收集大量的”指纹“信息的途径和手段太多了。