FvncBot 移动恶意软件

安全分析师发现了一种此前未知的安卓恶意软件，名为FvncBot，它完全是从零开始设计的。与许多利用泄露代码库构建功能的现代银行木马不同，该恶意软件家族采用其自身独特的架构和技术。

伪装成一款值得信赖的波兰银行应用程序

FvncBot伪装成mBank的合法安全工具进行传播，其目标直指波兰的手机银行用户。这种伪装方式，加上其专为金融操纵而设计的功能，强烈表明其运营者专注于高针对性的欺诈活动。

针对金融欺诈的定制功能

该恶意软件包含一系列强大的功能，旨在窃取敏感信息并远程控制受感染的设备。它利用安卓系统的辅助功能服务，实现键盘记录、网页注入攻击、屏幕内容流传输，并利用隐藏虚拟网络计算 (HVNC) 技术进行未经授权的银行交易。

FvncBot 依赖 Golden Crypt 提供的 apk0day 加密服务进行保护。呈现给用户的恶意应用程序仅起到加载器的作用，用于部署嵌入的有效载荷。

绕过现代安卓系统的限制

一旦启动，该恶意软件会试图诱骗受害者安装看似 Google Play 组件的程序。实际上，这是一种基于会话的技巧，用于绕过运行 Android 13 及更高版本设备的辅助功能保护，这种技术也曾在其他近期的攻击活动中出现过。

在运行过程中，该恶意软件会将日志数据发送到托管在 naleymilva.it.com 的服务器，使攻击者能够实时监控僵尸网络的活动。攻击者嵌入的元数据，例如标识符 call_pl 和版本号 1.0-P，表明波兰是其最初的攻击目标，并暗示 FvncBot 仍处于早期开发阶段。

通过滥用无障碍功能建立控制

部署完成后，恶意软件会提示用户授予其访问权限。获得提升的权限后，它会通过 HTTP 协议联系外部服务器注册设备，并使用 Firebase 云消息传递 (FCM) 接收后续指令。

核心能力

• 以下是一些主要支持的功能：
• 启动或终止用于远程控制的 WebSocket 会话，支持滑动、点击和滚动等操作。

一个显著的特点是其特有的“文本模式”，即使应用程序通过 FLAG_SECURE 设置阻止屏幕截图，攻击者也能利用该模式分析屏幕内容。这使得攻击者能够在欺诈交易中精准定位目标。

分配情况仍不明朗

目前的感染途径尚不清楚。然而，安卓银行木马经常利用短信钓鱼活动和非官方应用商店，因此这些途径也可能是该木马家族的传播途径。

威胁日益加剧，或将蔓延至波兰以外地区。

由于安卓系统的辅助功能服务能够深入洞察用户活动并操控屏幕内容，因此它仍然是攻击者的强大工具。虽然此样本主要针对波兰语用户，但其操作者很容易切换到其他地区或冒充其他机构。