冒充BBVA银行2FA应用程序，Android恶意软件“Revive”的深度伪装

日前，冒充一款名为“Revive”的银行应用意软新型安卓银行恶意软件被发现 ，它模仿的程序是一款登录西班牙对外银行(BBVA)银行账户所需的2FA应用程序。该新型银行木马采用了一种更集中的深度方法针对西班牙对外银行(BBVA)
，而不是伪装试图危害多个金融机构的客户 。虽然目前Revive还处于早期开发阶段，冒充但它已经具备拦截双重身份验证 (2FA) 代码和一次性密码等高级功能 。银行应用意软

Revive是香港云服务器程序由Cleafy的研究人员发现的 ，并以该恶意软件使用的深度一个同名功能命名，该功能被终止后会自动重启。伪装根据研究人员的冒充说法，新的银行应用意软恶意软件通过网络钓鱼攻击诱导用户下载一个应用程序
 ，该应用程序是程序升级银行账户安全所需的2FA工具。该网络钓鱼攻击会通过欺骗用户嵌入到实际银行应用程序中的高防服务器深度2FA功能不再满足安全级别要求，用户需要安装此附加工具来升级其银行安全性  。伪装

这款应用程序位于一个专门的网站上 ，网站上不仅展示了该应用程序专业的外观，甚至还有一个视频教程 ，指导受害者下载和安装它的过程。当用户安装后 ，Revive请求使用辅助功能服务的权限 ，这基本上使它可以完全控制屏幕并能够执行屏幕点击和导航操作。当用户第一次启动应用程序时 ，模板下载他们被要求授予它访问短信和电话的权限，这对2FA应用程序来说可能看起来很正常。然后凭据会被发送给威胁参与者的C2 ，然后加载一个通用主页 ，其中包含指向目标银行真实网站的链接。之后 ，Revive继续作为一个简单的键盘记录器在后台运行 ，记录用户在设备上键入的所有内容，并定期将其发送到C2。建站模板

在对Cleafy的代码分析中 ，作者也受到了Teradroid的启发，这是一款 Android 间谍软件 ，其代码可在GitHub上公开获得。这两者在API 、Web框架和功能上有广泛的相似之处。Revive使用自定义控制面板来收集凭据并拦截SMS消息。可以说该恶意软件是一款几乎不会被任何安全供应商检测到的应用程序
。云计算例如，Cleafy在VirusTotal上的测试在一个样本上返回了4个检测结果，而在后来的变体上则没有  。也很可能是小范围的目标定位 、短期的活动和本地化的行动没有给安全供应商很多机会来记录这些威胁 ，并设置识别参数
 ，以便他们可以潜伏更长的时间。源码库

参考来源：https://www.bleepingcomputer.com/news/security/android-malware-revive-impersonates-bbva-bank-s-2fa-app/