关键词

恶意软件

网络安全公司 Bitdefender 昨日（1 月 29 日）发布博文，报道称有黑客利用 Hugging Face 分发安卓恶意软件，窃取用户的支付宝、微信等金融凭证。

注：Hugging Face 是全球知名的开源社区和平台，供开发者托管、共享和协作开发人工智能模型、数据集和演示应用，可以视为 AI 界的 "GitHub" 或 " 应用商店 "。由于其信誉度高，常被安全软件列为白名单。

本次攻击主要针对安卓用户，通过恐吓式广告，谎称用户设备已感染病毒，诱导其下载名为 "TrustBastion" 的诱饵应用。

用户安装后，TrustBastion 会立即弹出一个伪装成 Google Play 风格的强制更新提示。实际上，该应用并不直接包含恶意代码，而是连接服务器，将用户重定向至 Hugging Face 的数据集仓库，下载真正的恶意 APK 载荷。

TrustBastion 为了对抗杀毒软件，采用了复杂的 " 服务端多态性 " 技术，每隔 15 分钟就会自动生成一个新的载荷变种，改变代码特征以逃避特征码扫描。

调查显示，涉事仓库在短短 29 天内就提交了超过 6000 次代码更新。即便原始仓库被封禁，攻击者也迅速更名为 "Premium Club"，更换图标后继续利用相同代码作恶。

打开网易新闻 查看精彩图片

恶意载荷一旦植入，便会以 " 安全需要 " 为由，强行请求安卓系统的 " 辅助功能服务 "（Accessibility Services）。获得该权限后，恶意软件即可完全接管手机：它不仅能监控屏幕内容、执行滑动操作，还能阻止用户卸载该应用。更危险的是，它会全天候连接命令与控制服务器（C2），实时上传窃取的数据。

该恶意软件的核心目标是金融盗窃。它通过监控用户活动，在用户打开支付宝、微信等金融应用时，覆盖一层伪造的登录界面，诱骗用户输入账号密码。

打开网易新闻 查看精彩图片

此外，它还会尝试窃取手机的锁屏 PIN 码。Bitdefender 目前已向 Hugging Face 通报了相关情况，恶意数据集已被移除，但专家建议用户切勿通过第三方渠道下载应用，并需警惕应用索取的不合理权限。

打开网易新闻 查看精彩图片

打开网易新闻 查看精彩图片

安全圈

打开网易新闻 查看精彩图片

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！