在颁布中国首份《2024人为智能安全汇报》后，，，，，，近日，，，，，，ca88登陆平台又颁布了《金相狐黑产团伙：AI人脸鉴别诳骗敲响金融安全警钟》汇报，，，，，，告发了黑产团伙“金相狐”在移动端通过窃取人脸鉴别资料进行金融诳骗攻击活动的全过程，，，，，，为金融行业安全敲响了警钟。。。。。。。。

    随着AI技术的发展及其在金融领域的实际，，，，，，类似“金相狐”组织选取曲折战术，，，，，，借助AI技术从不接触金融软件的通路执行攻击也造成了现实，，，，，，配上强力的分析匹敌伎俩，，，，，，金融行业利用已经很难从自身安整系统中感知到此类攻击行为，，，，，，为此，，，，，，追求有大数据和技术能力的安全厂商结合布防变得尤为沉要。。。。。。。。

    提要

    人脸鉴别技术作为身份验证的重要伎俩，，，，，，被宽泛利用于账户风控、金融买卖等场景。。。。。。。。

    金相狐组织造作投递假装成泰国省电力局（PEA）利用的仿冒软件。。。。。。。。仿冒软件获得授权后，，，，，，起头窃取面部特点数据和其他信息。。。。。。。。

    为了更好的执行金融诳骗，，，，，，仿冒软件会下载并诱导受害者装置金融监控软件。。。。。。。。金融监控软件执行主控服务器下发的远程指令，，，，，，监控受害用户金融软件使用情况，，，，，，进行垂钓攻击和运行锁定。。。。。。。。

    最后，，，，，，金相狐组织通过受害者设备信息和大量的面部特点数据，，，，，，通过AI换脸或合成等技术即有可能实现异地登录受害用户金融账户，，，，，，执行转移财富等操作。。。。。。。。

    这次攻击活动对金融行业安全拥有里程碑式的警示意思。。。。。。。。

    关键词：金相狐组织、人脸鉴别、面部生物特点数据、泰国省电力局（PEA）、身份证件信息、无阻碍服务

    序

    在当今数字化社会，，，，，，人脸鉴别技术与金融领域的亲昵结合，，，，，，为ca88登陆平台生涯带来了巨风雅便，，，，，，然而，，，，，，新的机缘往往带来新的挑战。。。。。。。。人脸鉴别技术作为身份验证的重要伎俩，，，，，，被宽泛利用于账户风控、金融买卖等场景。。。。。。。。

    在2023年3月，，，，，，泰国央行颁布批示，，，，，，要求银行在进行以下买卖时选取面部生物特点验证来确认身份：单笔买卖金额达到50,000泰铢（约合1,430美元）或以上；；；；；；；；逐日转账超过200,000泰铢；；；；；；；；或者将移动设备上的信誉转账限额提高到每次买卖50,000泰铢以上。。。。。。。。这一批示意味着银行在这些情况下不再使用一次性密码（OTP），，，，，，而是选取面部生物特点验证来加强身份确认的安全性。。。。。。。。

    这次发现的攻击活动就是黑产团伙针对这一政策定造的新的攻击战术，，，，，，攻击组织将钓饵恶意软件假装成泰国省电力局（PEA）利用进行投递，，，，，，至于为何选此软件，，，，，，通过查问可知泰国省电力局（PEA）利用在Google Play Store的下载量就达500万+次，，，，，，而电网买卖又是用户生涯必须事项。。。。。。。。此前版本也时时假装成泰国当局、金融部门和公共事业公司的有关利用法式，，，，，，由此可见，，，，，，这是他们惯用的假装伎俩。。。。。。。。分歧的是攻击者在诱导受害用户装置此类仿冒软件后，，，，，，还会在使用过程中诱导受害用户装置一个宣称为客服软件的金融监控软件，，，，，，继而执行越发深刻的诳骗活动。。。。。。。。

    经过深刻分析后，，，，，，我们将这个幕后团伙定名为"金相狐"（GoldenPhysiognomyFox）组织。。。。。。。。这个名字不仅仅是一个标签，，，，，，而是一个对该组织行为和特点的活泼描述："金"代表了他们夺取金钱的主张，，，，，，"相"则暗示了他们利用人脸鉴别技术的伎俩，，，，，，而"狐"则象征了他们刁滑和糊弄的性质。。。。。。。。这个名字既凸起了他们的行为特点，，，，，，又让我们更深刻地相识到这个组织的性质。。。。。。。。

    接下来，，，，，，让我们深刻探求"金相狐"组织的运作方式和对用户的威胁。。。。。。。。

    攻击链图

    这次攻击活动拥有肯定的复杂度，，，，，，从目前我们把握的谍报数据进行分析，，，，，，整个攻击过程可简要描述如下：

    Step 1：金相狐组织造作投递假装成泰国省电力局（PEA）利用的仿冒软件。。。。。。。。

    Step 2：受害用户装置仿冒软件后，，，，，，被诱导授予仿冒软件有关权限。。。。。。。。

    Step 3：仿冒软件获得授权后，，，，，，起头窃取面部特点数据和其他信息。。。。。。。。

    Step 4：仿冒软件将窃取的受害者信息上传到云服务器和主控服务器。。。。。。。。

    Step 5：同时，，，，，，仿冒软件还会诱导用户装置金融监控软件，，，，，，并使用意图开启此软件。。。。。。。。

    Step 6：金融监控软件也会窃取诸如利用装置列表、设备信息和短信等信息到主控服务器。。。。。。。。

    Step 7：同时，，，，，，金融监控软件会接管主控服务器下发的远控指令，，，，，，在用户使用金融软件时，，，，，，进行用户金融软件账户密码窃取和锁定金融软件，，，，，，不容用户使用的行为，，，，，，并将有关操作日志上传到主控服务器。。。。。。。。

    Step 8：最后，，，，，，金相狐组织通过受害者设备信息和大量的面部特点数据，，，，，，通过AI换脸或合成等技术即有可能实现异地登录受害用户金融账户，，，，，，执行转移财富等操作。。。。。。。。

    仿冒软件分析

    在高级威胁攻击中，，，，，，常见的手法是将钓饵软件假装成指标人群所需或使用量大的软件，，，，，，例如当局软件和生涯缴费软件。。。。。。。。对此仿冒软件进行分析时，，，，，，我们发现它不仅利用社会工程学伎俩诱导受害者，，，，，，还在服务器端对受害者的真实性进行校验，，，，，，可能通过指标用户电话匹配或官方软件泄露信息验证等伎俩，，，，，，在提高指标精准度的同时还会给安全分析人员增长分析成本。。。。。。。。

    只管仿冒软件在投递和信息窃取过程中重要使用社工伎俩，，，，，，并没有使用缝隙攻击等高粉碎性技术伎俩，，，，，，看似并不具备什么高级技术能力。。。。。。。。然而，，，，，，在样本分析中，，，，，，我们发现攻击者选取了多种技术伎俩进行自我保；；；；；；；ず桶踩治銎サ校，，，，，例如利用加固、运行环境检测、清单文件混合和源码字符串加密等。。。。。。。。

    这次攻击活动中，，，，，，受害者的面部生物特点数据被上传到云存储，，，，，，同时将相应资料的云URL上传到主控服务器，，，，，，而这次攻击中还会尝试将面部生物特点数据直接上传到主控服务器。。。。。。。。在没有指标账户或真实账户等测试前提下，，，，，，我们依附自身技术能力对假装软件的窃取受害者信息的运行过程和重要职能进行了多维度的分析。。。。。。。。

    （一）权限申请

    随着移动系统对于用户保；；；；；；；さ陌踩叮，，，，，利用法式在获取用户信息的时辰，，，，，，大多必要明确申请权限，，，，，，获得用户授权后能力使用相应职能。。。。。。。。而常见的恶意软件往往会申请大量的利用权限，，，，，，这次攻击使用的仿冒软件申请权限多达29项，，，，，，这些权限蕴含无阻碍服务、相机、短信等高危权限。。。。。。。。

    在多多权限中，，，，，，有一个比力特殊的权限——无阻碍服务权限。。。。。。。。无阻碍服务是一套能够模拟操作的系统级此外API，，，，，，用户赞成之后就能够模拟操作，，，，，，来节造用户的手机。。。。。。。。恶意软件时时通过诱导的方式来获得此权限，，，，，，下面就该仿冒软件申请此权限做简要注明。。。。。。。。

    01 无阻碍服务权限申请

    在正确设置安全密码后，，，，，，恶意利用会启动系统设置页面申请辅助职能服务，，，，，，通过社工假装成安全服务来诱导受害者激活。。。。。。。。随后会上传恶意软件被授予权限状态。。。。。。。。

    申请无阻碍服务权限页面如下：

    上传权限状态网络数据如下：

    受害者开启无阻碍职能服务后，，，，，，显示利用法式激活，，，，，，期待官方审核，，，，，，页面如下：

    （二）人脸鉴别资料窃取

    金相狐组织的主题是对金融软件的攻击，，，，，，序中也提到泰国新政的颁布，，，，，，所以此仿冒软件的主题职能则是窃取受害者的人脸鉴别数据有关资料，，，，，，继而通过AI有关技术，，，，，，实现最终的攻击指标。。。。。。。。

    01 窃取身份证件信息

    仿冒软件会通过社工伎俩诱导受害用户上传自己的身份证件信息，，，，，，而身份证件信息不仅能够用于金融账户和买卖的使用环节，，，，，，还可能用于提取受害者面部特点数据，，，，，，所以我们姑且将窃取身份证件信息的行为归为面部特点数据窃取。。。。。。。。

    上传身份证件照片页面如下：

    上传身份证件信息网络数据如下：

    仿冒软件将受害者身份证件信息上传到云存储服务器后，，，，，，会将正背面身份证件信息的云URL上传到主控服务器，，，，，，方便治理和直接获取。。。。。。。。

    上传云URL到主控服务器的源码如下：

    上传身份证件信息的云URL到主控服务器，，，，，，网络数据如下：

    利用本地存储的身份证件照片在表存储的利用数据目录中，，，，，，测试示例如下：

    02 窃取人脸鉴别数据

    恶意软件的另一重要职能是窃取受害者用于人脸检测识此外面部数据，，，，，，它们使用Google ML Kit进行人脸检测。。。。。。。。当发出“面部”号令时，，，，，，将进行面部扫描，，，，，，并纪录并上传会话。。。。。。。。录造面部视频时，，，，，，会给出一些例如眨眼、微笑、向左、向右、向下、颔首、向上和张嘴等指令，，，，，，使用这种步骤通常用于创建全面的面部生物特点档案。。。。。。。。并将这些视频和照片上传到云存储。。。。。。。。

    面部鉴别检测页面如下：

    上传面部鉴别视频到云存储的网络数据如下：

    同窃取身份证件信息一样，，，，，，窃取人脸鉴别视频后同样会将视频的云URL上传到主控服务器，，，，，，分歧的是，，，，，，此版本的仿冒软件会先尝试将其视频直接上传到主控服务器。。。。。。。。

    上传人脸鉴别视频和云URL到主控服务器的源码如下：

    上传视频的云URL到主控服务器，，，，，，网络数据如下：

    尝试直接将视频数据上传到主控服务器，，，，，，网络数据如下：

    同样，，，，，，利用本地存储的人脸鉴别视频在表存储的利用数据目录中，，，，，，测试示例如下：

    （三）账户垂钓

    在仿冒软件中时时伴随这账户垂钓，，，，，，在这次攻击中，，，，，，固然并没有发显熹获取泰国省电力局利用账户密码的主张，，，，，，猜测其进行账户垂钓不仅可能是仿冒利用更像官方利用，，，，，，也可能在后续或其他的攻击中进行使用。。。。。。。。

    01 登录

    在恶意软件启动后，，，，，，通常；；；；；；；峤猩璞感畔⑸洗统跏蓟畔⒓觳獾炔僮鳎，，，，，而后进入假装的登录页面。。。。。。。。然而，，，，，，经过测试发现，，，，，，填入轻易姓名和电话并不能成功登录，，，，，，服务器响应值为“0”。。。。。。。。这批注该服务器拥有账号真实性验证职能，，，，，，可能会通过填入的姓名和电话等信息来验证用户的真实身份，，，，，，从而阻止犯法接见，，，，，，这种账号真实性验证机造批注攻击者对攻击指标拥有肯定的选择性，，，，，，同时也对安全分析人员是一种防护。。。。。。。。

    登录页面如下：

    登录网络数据如下：

    02 设置安全密码

    若是受害者使用真实账号进行登录，，，，，，那么随后会进入安全密码设置页面，，，，，，要求使用6位数字不要沉复或陆续。。。。。。。。

    密码设置页面如下：

    密码设置网络数据如下：

    密码复杂性校验源码如下：

    （四）其他信息窃取

    仿冒软件窃取了大量的信息，，，，，，除上面的沉要信息表，，，，，，在整个攻击链中，，，，，，还有比力沉要的信息，，，，，，如下面所列出的两个恶意采集行为。。。。。。。。

    01 受害者手机界面监控

    受害者授权无阻碍服务职能后，，，，，，设备就被恶意软件监控了，，，，，，会通过不休上传手机显示UI截图的方式执行监控。。。。。。。。

    上传照片到云存储，，，，，，网络数据如下：

    上传照片的云URL到主控服务器，，，，，，网络数据如下：

    02 设备装置列表窃取

    除上述职能表，，，，，，恶意软件还会窃取设备已装置利用列表，，，，，，同时也会将各利用法式图标上传到云存储，，，，，，这也为后续的精准攻击指标金融软件做筹备。。。。。。。。

    利用列表上传网络数据如下：

    利用图标上传网络数据示例如下：

    （五）API接口职能

    该假装软件中含有大量的职能，，，，，，每项职能都对应服务器的开发接口，，，，，，但金相狐组织的该家族软件近期才起头活跃，，，，，，依然处于发展阶段，，，，，，所以有部门非关键职能并未启用或未发现使用。。。。。。。。其API接口职能表如下：

    伍 金融监控软件分析

    为了更好的执行金融诳骗，，，，，，仿冒软件会下载并诱导受害者装置名为“b.apk”的文件包，，，，，，此包是一个假装的客服软件，，，，，，软件内部会监控指标金融软件，，，，，，并定造每个金融软件的垂钓和锁定界面，，，，，，我们称其为金融监控软件。。。。。。。。

    金融监控软件是一个无启动图标的利用，，，，，，通过假装软件进行开启，，，，，，并将主控地址通过Intent传递。。。。。。。。在基础的配置职能上与假装软件一样，，，，，，选取服务器相应的“b接口”或一样接口，，，，，，因而不再对其进行流程化分析，，，，，，下面对其API接口职能和重要职能信息进行分析。。。。。。。。

    （一）API接口职能

    关键职能分析

    01 权限界面开启

    金融监控软件无启动图标，，，，，，在仿冒软件中通过意图开启，，，，，，并通过分歧的auth致反节造金融监控软件申请权限，，，，，，“1”是申请短信权限；；；；；；；；“2”是申请通知权限；；；；；；；；“3”是使用情况查看权限；；；；；；；；“4”是申请悬浮窗权限。。。。。。。。

    仿冒软件开启金融监控软件源码如下：

    金融监控软件权限申请节造源码如下：

    02 远程节造

    在对受害者诳骗的过程中，，，，，，恶意软件能够实时远程节造指标设备，，，，，，重要针对指标银前进行操作，，，，，，如设置弹窗、锁定/解除锁定和设置代理等。。。。。。。。

    远程节造源码如下：

    03 金融软件操控

    在远控职能中，，，，，，拥有一系列试图节造用户金融利用使用的号令，，，，，，其中就蕴含下发弹窗和锁定指标银行的职能，，，，，，而锁定的方式则是通过load利用包中定造开发的各个金融利用的html假装页面，，，，，，并以此获得受害者的金融账户密码。。。。。。。。

    假装金融利用的弹窗页面和锁定页面如下：

    弹窗和锁定页面，，，，，，在监控的金融软件开启时触发，，，，，，若是在远程节造相应指标中，，，，，，则执行相应操作。。。。。。。。执行操作的源码如下：

    指标金融软件如下表所示：

    陆

    总结

    本汇报对移动端通过窃取人脸鉴别资料进行金融诳骗攻击活动进行了深刻分析。。。。。。。。通过对攻击活动的调查和钻研，，，，，，我们发现攻击者假装成合法机构的利用法式，，，，，，诱使用户下载并使用，，，，，，进而窃取用户的面部生物特点数据及幼我金融信息。。。。。。。。攻击活动重要通过两个渠路发展：一是假装成当局或金融机构的利用，，，，，，以获取用户的信赖并获取面部生物特点数据；；；；；；；；二是利用定造化的金融监控软件诱导用户装置，，，，，，以监控用户的金融软件状态并获取敏感信息和实季节造。。。。。。。。

    这次攻击活动对金融行业安全拥有里程碑式的警示意思。。。。。。。。传统的攻击手法时时直面金融安全防火墙，，，，，，如仿冒金融软件垂钓、通过辅助职能监控金融软件运行等，，，，，，但是在愈演愈烈的攻防匹敌中，，，，，，传统攻击伎俩已很难达到其主张。。。。。。。。随着AI技术的发展及其在金融领域的实际，，，，，，类似金相狐组织选取曲折战术，，，，，，借助AI技术从不接触金融软件的通路执行攻击也造成了现实，，，，，，配上强力的分析匹敌伎俩，，，，，，金融行业利用已经很难从自身安整系统中感知到此类攻击行为，，，，，，为此，，，，，，追求有大数据和技术能力的安全厂商结合布防变得尤为沉要。。。。。。。。

    针对特定人群若何预防遭逢移动端上的攻击，，，，，，ca88登陆平台病毒响应中心移动安全团队提供以下防护建议：

    实时更新系统和利用，，，，，，在正规的利用商店下载利用。。。。。。。。国内的用户能够在手机自带的利用商店下载，，，，，，国表用户能够在Google Play下载。。。。。。。。不要装置不成信起源的利用、不要轻易点击不明URL或者扫描安全性未知的二维码。。。。。。。。

    移动设备实时在可信网络环境下进行安全更新，，，，，，不要等闲使用不成信的网络环境。。。。。。。。

    不等闲开启Root权限；；；；；；；；对要求利用装置权限、激活设备治理器等权限的利用要出格审慎，，，，，，通常来说通常利用不会要求这些权限，，，，，，出格是设备治理器，，，，，，正常的利用根基没有这个需要。。。。。。。。

    确保装置有手机安全软件，，，，，，进行实时保；；；；；；；び孜也聘话踩；；；；；；；如装置ca88登陆平台移动安全产品。。。。。。。。

    目前，，，，，，基于ca88登陆平台自研的猫头鹰引擎、QADE引擎和威胁谍报数据的全线产品，，，，，，蕴含ca88登陆平台威胁谍报平台（TIP）、ca88登陆平台天狗缝隙攻击防护系统、天擎、天机、天守、天眼高级威胁检测系统、ca88登陆平台NGSOC（态势感知与安全运营平台）、ca88登陆平台监管类态势感知等，，，，，，都已经支持对此类攻击的精确检测。。。。。。。。

    柒

    IOCs

    捌

    附录1ca88登陆平台病毒响应中心

    ca88登陆平台病毒响应中心是北京ca88登陆平台科技有限公司（ca88登陆平台）旗下的病毒鉴定及响应专业团队，，，，，，背靠ca88登陆平台主题云平台，，，，，，占有逐日千万级样本检测及措置能力、逐日亿级安全数据关联分析能力。。。。。。。。结合多年反病毒主题安全技术、运营经验，，，，，，基于集团自主研发的QOWL和QDE（人为智能）引擎，，，，，，形成跨平台木马病毒、缝隙的查杀与建复能力，，，，，，并且拥有壮大的大数据分析以及实现全平台安全和防护预警能力。。。。。。。。

    ca88登陆平台病毒响应中心掌管支持ca88登陆平台全线安全产品的病毒检测，，，，，，积极响应客户侧的安全反馈问题，，，，，，可第一功夫为客户排除疑难杂症。。。。。。。。中心曾屡次措置沉大病毒事务、参加沉大活动安全保险工作，，，，，，受到客户的高度认可，，，，，，提升了ca88登陆平台在业内的品牌影响力。。。。。。。。

    玖

    附录2ca88登陆平台病毒响应中心移动安全团队

    ca88登陆平台病毒响应中心移动安全团队一向致力移动安全领域及Android安全生态的钻研。。。。。。。。目前，，，，，，ca88登陆平台的移动安全产品除了能够查杀常见的移动端病毒木马，，，，，，也能够精准查杀时下盛行的刷量、诳骗、博彩、违规、色情等黑产类软件。。。。。。。。通过其内部门析系统能够有效支持对溯源分析等追踪。。。。。。。。团队结合自研QADE引擎和高价值移动端攻击发现流程已捕获到多起移动攻击事务，，，，，，并颁布了多篇移动黑产汇报，，，，，，对表披露了多个APT组织活动。。。。。。。。近三年来已首发披露五个全新APT组织（诺崇狮组织SilencerLion、利刃鹰组织BladeHawk、艾叶豹组织SnowLeopard、金刚象组织VajraEleph和沙猁猫组织Caracal Kitten）。。。。。。。。将来我们还会持续走在全球移动安全钻研的前沿，，，，，，第一功夫追踪分析最新的移动安全事务、对国内移动有关的黑灰产攻击进行深刻挖掘和跟踪，，，，，，为守护移动端上的网络安全砥砺前行。。。。。。。。