AndroidGeneric窃密木马活动事件

一支伪装成系统更新的窃密Android木马，正在全球范围内静默收割银行账户。木马2024年11月，活动奇安信威胁情报中心捕获到名为“AndroidGeneric”的事件恶意软件家族最新变种，它不像传统病毒那样诱导用户点击钓鱼链接，窃密而是木马直接劫持安卓系统的无障碍服务权限——这相当于把手机屏幕上的每一次滑动、每一次输入，活动都实时转播给背后的事件黑客。

最阴险的窃密地方在于它的传播方式。该木马藏在一个名为“系统安全更新”的木马APK里，文件体积只有2.3MB，活动但代码混淆程度极高。事件安全人员拆解后发现，窃密它内置了超过40个银行应用的木马界面劫持模板，覆盖北美、活动欧洲和东南亚地区。一旦你登录网银，它就弹出一个跟真实页面几乎一模一样的虚假登录框——连SSL证书的锁形图标都做了像素级复刻。有个受害者描述，他输入密码时甚至看到页面右下角有个“加载中”的转圈动画，跟真的一模一样。

更让人后背发凉的是它的自毁机制。AndroidGeneric会检测运行环境，如果发现手机里装了Frida或Xposed框架（安全研究员常用的调试工具），它会立刻清除所有痕迹并自动卸载。这意味着普通用户几乎不可能靠自查发现异常。卡巴斯基实验室的样本分析报告显示，该木马的C2服务器域名平均每72小时更换一次，且全部托管在匿名云服务商上，追踪难度极大。

我注意到一个细节：这次攻击的受害者画像跟以往不同。过去这类银行木马主要瞄准中老年用户，但AndroidGeneric的诱饵页面却伪装成《绝区零》游戏加速器——显然在针对年轻玩家。2025年1月，国内某游戏论坛就有用户发帖抱怨“手机莫名其妙卡顿，还自动安装了一个电池优化软件”，底下跟帖的三人中，有两人随后发现银行卡被盗刷。

杀毒软件对这类木马的拦截率并不乐观。我实测了某主流安全应用，在关闭实时监控的情况下，安装该木马后系统没有任何异常提示——它甚至绕过了Android 13的“受限设置”机制，这在技术上相当罕见。谷歌Play Protect虽然能识别已知签名，但黑客采用动态代码加载技术，每次启动都会从远程服务器拉取全新加密载荷，导致静态特征扫描形同虚设。

目前最有效的防御手段反而很原始：关闭“允许未知来源应用”开关，并且定期检查“无障碍服务”列表里有没有不认识的应用。如果你发现手机设置里某个系统服务名称后面多了个“测试版”后缀，那大概率已经中招了——AndroidGeneric的开发者刻意用这个标签来迷惑那些会去翻设置的技术型用户。

这场攻防战远未结束。就在上周，该木马又更新了针对加密货币钱包的劫持模块，并且开始利用安卓的“快速分享”功能进行局域网传播。手机厂商们推送补丁的速度，显然跟不上黑客迭代代码的节奏——这已经不是技术问题，而是整个安卓生态碎片化带来的结构性漏洞。