变色龙安卓银行木马最近重出江湖并发布了最新的版本，它采用了一种非常“野”的方式来接管设备——禁用指纹和面部解锁功能，以窃取设备的 PIN 码。但不得不说，确实可以实现窃取 Android 手机PIN码。

它通过使用 HTML 页面的技巧来获取访问辅助服务的权限，并采用一种干扰生物识别操作的方法，来窃取 PIN 码并随意解锁设备。今年四月份发现的变色龙早期版本冒充澳大利亚政府机构、银行以及 CoinSpot 加密货币交易所，对被感染的设备进行键盘记录、覆盖注入、窃取 Cookie 和短信。

ThreatFabric 的研究人员一直在跟踪这款恶意软件，他们报告称，目前该恶意软件通过伪装成 Google Chrome 的 Zombinder 服务进行分发。Zombinder 将恶意软件“粘贴”到合法的安卓应用程序上，这样受害者就可以享受他们原本意图安装的应用程序的全部功能，从而降低了他们怀疑后台运行危险代码的可能性。

该平台声称其恶意软件捆绑包在运行时无法被检测到，可以绕过 Google Protect 的警报，并规避在被感染设备上运行的任何杀毒产品。

伪装成Google Chrome的携带变色龙恶意软件的APK文件（ThreatFabric）

新版变色龙特性

最新变色龙变体的首个新特性是能够在运行 Android 13 及更高版本的设备上显示 HTML 页面，提示受害者授予应用程序使用辅助服务的权限。

Android 13及更高版本受到一项名为“受限设置”的安全特性的保护，该特性可以阻止危险权限的批准，如辅助功能权限，恶意软件可以利用该权限窃取屏幕内容、授予自身额外权限和执行导航手势。

当变色龙检测到设备运行的是Android 13或14时，它会加载一个HTML页面，指导用户手动过程以启用应用的辅助功能，从而绕过系统的保护。

变色龙的HTML页面提示（ThreatFabric）

第二个值得注意的新特性是能够通过使用辅助服务强制设备回退到 PIN 码或密码认证，从而中断设备上的生物识别操作，如指纹解锁和面部解锁。该恶意软件会捕获受害者输入的任何 PIN 码和密码以解锁他们的设备，并且稍后可以随意使用这些凭据来解锁设备，以便在不被发现的情况下执行恶意活动。

Java代码片段干扰Android上的生物识别服务（ThreatFabric）

ThreatFabric 报告称，变色龙通过 AlarmManager API 增加了任务调度功能，以管理活动周期并定义活动类型。根据辅助功能是否启用，恶意软件会适应性地发起覆盖攻击或执行应用使用数据收集，以决定注入的最佳时机。

ThreatFabric 警告说：“这些增强功能提升了新变色龙变种的复杂性和适应性，使其成为不断变化的移动银行木马威胁环境中更为强大的威胁。”

为了防范变色龙威胁，应该避免从非官方渠道下载 APK（Android 安装包），因为这是 Zombinder 服务的主要分发方式。此外，请确保 Play Protect 始终处于启用状态，并定期运行扫描，以确保设备没有恶意软件和广告软件。

---

转自FreeBuf，原文链接：https://www.freebuf.com/news/387465.html

封面来源于网络，如有侵权请联系删除