在宣布中国首份《2024人工智能清静报告》后 ，，，，，，，克日 ，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!又宣布了《金相狐黑产团伙：AI人脸识别诈骗敲响金融清静警钟》报告 ，，，，，，，揭破了黑产团伙“金相狐”在移动端通过窃取人脸识别质料举行金融诈骗攻击运动的全历程 ，，，，，，，为金融行业清静敲响了警钟。。。。。。
随着AI手艺的生长及其在金融领域的实践 ，，，，，，，类似“金相狐”组织接纳迂回战术 ，，，，，，，借助AI手艺从不接触金融软件的通道实验攻击也酿成了现实 ，，，，，，，配上强力的剖析对抗手段 ，，，，，，，金融行业应用已经很难从自身清静系统中感知到此类攻击行为 ，，，，，，，为此 ，，，，，，，追求有大数据和手艺能力的清静厂商团结布防变得尤为主要。。。。。。
摘要
人脸识别手艺作为身份验证的主要手段 ，，，，，，，被普遍应用于账户风控、金融生意等场景。。。。。。
金相狐组织制作投递伪装成泰国省电力局（PEA）应用的仿冒软件。。。。。。仿冒软件获得授权后 ，，，，，，，最先窃取面部特征数据和其他信息。。。。。。
为了更好的实验金融诈骗 ，，，，，，，仿冒软件会下载并诱导受害者装置金融监控软件。。。。。。金融监控软件执行主控效劳器下发的远程指令 ，，，，，，，监控受害用户金融软件使用情形 ，，，，，，，举行垂纶攻击和运行锁定。。。。。。
最后 ，，，，，，，金相狐组织通过受害者装备信息和大宗的面部特征数据 ，，，，，，，通过AI换脸或合成等手艺即有可能实现异地登录受害用户金融账户 ，，，，，，，实验转移工业等操作。。。。。。
此次攻击运动对金融行业清静具有里程碑式的警示意义。。。。。。
要害词：金相狐组织、人脸识别、面部生物特征数据、泰国省电力局（PEA）、身份证件信息、无障碍效劳
序
在当今数字化社会 ，，，，，，，人脸识别手艺与金融领域的亲近团结 ，，，，，，，为意昂体育-科技赋能场景,让娱乐更有趣!生涯带来了重大便当 ，，，，，，，然而 ，，，，，，，新的机缘往往带来新的挑战。。。。。。人脸识别手艺作为身份验证的主要手段 ，，，，，，，被普遍应用于账户风控、金融生意等场景。。。。。。
在2023年3月 ，，，，，，，泰国央行宣布指示 ，，，，，，，要求银行在举行以下生意时接纳面部生物特征验证来确认身份：单笔生意金额抵达50,000泰铢（约合1,430美元）或以上；；；；；；；；逐日转账凌驾200,000泰铢；；；；；；；；或者将移动设惫亓信用转账限额提高到每次生意50,000泰铢以上。。。。。。这一指示意味着银行在这些情形下不再使用一次性密码（OTP） ，，，，，，，而是接纳面部生物特征验证来增强身份确认的清静性。。。。。。
此次发明的攻击运动就是黑产团伙针对这一政策定制的新的攻击战略 ，，，，，，，攻击组织将诱饵恶意软件伪装成泰国省电力局（PEA）应用举行投递 ，，，，，，，至于为何选此软件 ，，，，，，，通过盘问可知泰国省电力局（PEA）应用在Google Play Store的下载量就达500万+次 ，，，，，，，而电网生意又是用户生涯必需事项。。。。。。此前版本也经常伪装成泰国政府、金融部分和公共事业公司的相关应用程序 ，，，，，，，由此可见 ，，，，，，，这是他们习用的伪装手段。。。。。。差别的是攻击者在诱导受害用户装置此类仿冒软件后 ，，，，，，，还会在使用历程中诱导受害用户装置一个宣称为客服软件的金融监控软件 ，，，，，，，继而实验越发深入的诈骗运动。。。。。。
经由深入剖析后 ，，，，，，，我们将这个幕后团伙命名为"金相狐"（GoldenPhysiognomyFox）组织。。。。。。这个名字不但仅是一个标签 ，，，，，，，而是一个对该组织行为和特点的生动形貌："金"代表了他们攫取款子的目的 ，，，，，，，"相"则体现了他们使用人脸识别手艺的手段 ，，，，，，，而"狐"则象征了他们狡诈和诱骗的实质。。。。。。这个名字既突出了他们的行为特点 ，，，，，，，又让我们更深入地相识到这个组织的实质。。。。。。
接下来 ，，，，，，，让我们深入探讨"金相狐"组织的运作方法和对用户的威胁。。。。。。
攻击链图
此次攻击运动具有一定的重漂后 ，，，，，，，从现在我们掌握的情报数据举行剖析 ，，，，，，，整个攻击历程可简要形貌如下：
Step 1：金相狐组织制作投递伪装成泰国省电力局（PEA）应用的仿冒软件。。。。。。
Step 2：受害用户装置仿冒软件后 ，，，，，，，被诱导授予仿冒软件相关权限。。。。。。
Step 3：仿冒软件获得授权后 ，，，，，，，最先窃取面部特征数据和其他信息。。。。。。
Step 4：仿冒软件将窃取的受害者信息上传到云效劳器和主控效劳器。。。。。。
Step 5：同时 ，，，，，，，仿冒软件还会诱导用户装置金融监控软件 ，，，，，，，并使用意图开启此软件。。。。。。
Step 6：金融监控软件也会窃取诸如应用装置列表、装备信息和短信等信息到主控效劳器。。。。。。
Step 7：同时 ，，，，，，，金融监控软件会吸收主控效劳器下发的远控指令 ，，，，，，，在用户使用金融软件时 ，，，，，，，举行用户金融软件账户密码窃取和锁定金融软件 ，，，，，，，榨取用户使用的行为 ，，，，，，，并将相关操作日志上传到主控效劳器。。。。。。
Step 8：最后 ，，，，，，，金相狐组织通过受害者装备信息和大宗的面部特征数据 ，，，，，，，通过AI换脸或合成等手艺即有可能实现异地登录受害用户金融账户 ，，，，，，，实验转移工业等操作。。。。。。
仿冒软件剖析
在高级威胁攻击中 ，，，，，，，常见的手法是将诱饵软件伪装成目的人群所需或使用量大的软件 ，，，，，，，例如政府软件和生涯缴费软件。。。。。。对此仿冒软件举行剖析时 ，，，，，，，我们发明它不但使用社会工程学手段诱导受害者 ，，，，，，，还在效劳器端对受害者的真实性举行校验 ，，，，，，，可能通过目的用户电话匹配或官方软件泄露信息验证等手段 ，，，，，，，在提高目的精准度的同时还会给清静剖析职员增添剖析本钱。。。。。。
只管仿冒软件在投递和信息窃取历程中主要使用社工手段 ，，，，，，，并没有使用误差攻击等高破损性手艺手段 ，，，，，，，看似并不具备什么高级手艺能力。。。。。。然而 ，，，，，，，在样天职析中 ，，，，，，，我们发明攻击者接纳了多种手艺手段举行自我�；；；；；；；；ず颓寰财饰龆钥� ，，，，，，，例如应用加固、运行情形检测、清单文件混淆和源码字符串加密等。。。。。。
这次攻击运动中 ，，，，，，，受害者的面部生物特征数据被上传到云存储 ，，，，，，，同时将响应质料的云URL上传到主控效劳器 ，，，，，，，而此次攻击中还会实验将面部生物特征数据直接上传到主控效劳器。。。。。。在没有目的账户或真实账户等测试条件下 ，，，，，，，我们依托自身手艺能力对伪装软件的窃取受害者信息的运行历程和主要功效举行了多维度的剖析。。。。。。
（一）权限申请
随着移动系统关于用户�；；；；；；；；さ那寰采� ，，，，，，，应用程序在获取用户信息的时间 ，，，，，，，大多需要明确申请权限 ，，，，，，，获得用户授权后才华使用响应功效。。。。。。而常见的恶意软件往往会申请大宗的应用权限 ，，，，，，，此次攻击使用的仿冒软件申请权限多达29项 ，，，，，，，这些权限包括无障碍效劳、相机、短信等高危权限。。。。。。
在众多权限中 ，，，，，，，有一个较量特殊的权限——无障碍效劳权限。。。。。。无障碍效劳是一套可以模拟操作的系统级别的API ，，，，，，，用户赞成之后就可以模拟操作 ，，，，，，，来控制用户的手机。。。。。。恶意软件经常通过诱导的方法来获得此权限 ，，，，，，，下面就该仿冒软件申请此权限做简要说明。。。。。。
01 无障碍效劳权限申请
在准确设置清静密码后 ，，，，，，，恶意应用会启动系统设置页面申请辅助功效效劳 ，，，，，，，通过社工伪装成清静效劳来诱导受害者激活。。。。。。随后会上传恶意软件被授予权限状态。。。。。。
申请无障碍效劳权限页面如下：
上传权限状态网络数据如下：
受害者开启无障碍功效效劳后 ，，，，，，，显示应用程序激活 ，，，，，，，期待官方审核 ，，，，，，，页面如下：
（二）人脸识别质料窃取
金相狐组织的焦点是对金融软件的攻击 ，，，，，，，序中也提到泰国新政的宣布 ，，，，，，，以是此仿冒软件的焦点功效则是窃取受害者的人脸识别数据相关质料 ，，，，，，，继而通过AI相关手艺 ，，，，，，，实现最终的攻击目的。。。。。。
01 窃取身份证件信息
仿冒软件会通过社工手段诱导受害用户上传自己的身份证件信息 ，，，，，，，而身份证件信息不但可以用于金融账户和生意的使用环节 ，，，，，，，还可能用于提取受害者面部特征数据 ，，，，，，，以是我们暂时将窃取身份证件信息的行为归为面部特征数据窃取。。。。。。
上传身份证件照片页面如下：
上传身份证件信息网络数据如下：
仿冒软件将受害者身份证件信息上传到云存储效劳器后 ，，，，，，，会将正背面身份证件信息的云URL上传到主控效劳器 ，，，，，，，利便治理和直接获取。。。。。。
上传云URL到主控效劳器的源码如下：
上传身份证件信息的云URL到主控效劳器 ，，，，，，，网络数据如下：
应用外地存储的身份证件照片在外存储的应用数据目录中 ，，，，，，，测试示例如下：
02 窃取人脸识别数据
恶意软件的另一主要功效是窃取受害者用于人脸检测识别的面部数据 ，，，，，，，它们使用Google ML Kit举行人脸检测。。。。。。当发出“面部”下令时 ，，，，，，，将举行面部扫描 ，，，，，，，并纪录并上传会话。。。。。。录制面部视频时 ，，，，，，，会给出一些例如眨眼、微笑、向左、向右、向下、颔首、向上和张嘴等指令 ，，，，，，，使用这种要领通常用于建设周全的面部生物特征档案。。。。。。并将这些视频和照片上传到云存储。。。。。。
面部识别检测页面如下：
上传面部识别视频到云存储的网络数据如下：
同窃取身份证件信息一样 ，，，，，，，窃取人脸识别视频后同样会将视频的云URL上传到主控效劳器 ，，，，，，，差别的是 ，，，，，，，此版本的仿冒软件会先实验将其视频直接上传到主控效劳器。。。。。。
上传人脸识别视频和云URL到主控效劳器的源码如下：
上传视频的云URL到主控效劳器 ，，，，，，，网络数据如下：
实验直接将视频数据上传到主控效劳器 ，，，，，，，网络数据如下：
同样 ，，，，，，，应用外地存储的人脸识别视频在外存储的应用数据目录中 ，，，，，，，测试示例如下：
（三）账户垂纶
在仿冒软件中经常陪同这账户垂纶 ，，，，，，，在此次攻击中 ，，，，，，，虽然并没有发明其获取泰国省电力局应用账户密码的目的 ，，，，，，，推测其举行账户垂纶不但能够是仿冒应用更像官方应用 ，，，，，，，也可能在后续或其他的攻击中举行使用。。。。。。
01 登录
在恶意软件启动后 ，，，，，，，通�；；；；；；；；峋傩凶氨感畔⑸洗统跏蓟畔⒓觳獾炔僮� ，，，，，，，然后进入伪装的登录页面。。。。。。然而 ，，，，，，，经由测试发明 ，，，，，，，填入随意姓名和电话并不可乐成登录 ，，，，，，，效劳器响应值为“0”。。。。。。这批注该效劳用具有账号真实性验证功效 ，，，，，，，可能会通过填入的姓名和电话等信息来验证用户的真实身份 ，，，，，，，从而阻止不法会见 ，，，，，，，这种账号真实性验证机制批注攻击者对攻击目的具有一定的选择性 ，，，，，，，同时也对清静剖析职员是一种防护。。。。。。
登录页面如下：
登录网络数据如下：
02 设置清静密码
若是受害者使用真实账号举行登录 ，，，，，，，那么随后会进入清静密码设置页面 ，，，，，，，要求使用6位数字不要重复或一连。。。。。。
密码设置页面如下：
密码设置网络数据如下：
密码重大性校验源码如下：
（四）其他信息窃取
仿冒软件窃取了大宗的信息 ，，，，，，，除上面的主要信息外 ，，，，，，，在整个攻击链中 ，，，，，，，尚有较量主要的信息 ，，，，，，，如下面所列出的两个恶意收罗行为。。。。。。
01 受害者手机界面监控
受害者授权无障碍效劳功效后 ，，，，，，，装备就被恶意软件监控了 ，，，，，，，会通过一直上传手机显示UI截图的方法实验监控。。。。。。
上传照片到云存储 ，，，，，，，网络数据如下：
上传照片的云URL到主控效劳器 ，，，，，，，网络数据如下：
02 装备装置列表窃取
除上述功效外 ，，，，，，，恶意软件还会窃取装备已装置应用列表 ，，，，，，，同时也会将各应用程序图标上传到云存储 ，，，，，，，这也为后续的精准攻击目的金融软件做准备。。。。。。
应用列表上传网络数据如下：
应用图标上传网络数据示例如下：
（五）API接口功效
该伪装软件中含有大宗的功效 ，，，，，，，每项功效都对应效劳器的开发接口 ，，，，，，，但金相狐组织的该家族软件近期才最先活跃 ，，，，，，，仍然处于生长阶段 ，，，，，，，以是有部分非要害功效并未启用或未发明使用。。。。。。其API接口功效表如下：
伍 金融监控软件剖析
为了更好的实验金融诈骗 ，，，，，，，仿冒软件会下载并诱导受害者装置名为“b.apk”的文件包 ，，，，，，，此包是一个伪装的客服软件 ，，，，，，，软件内部会监控目的金融软件 ，，，，，，，并定制每个金融软件的垂纶和锁定界面 ，，，，，，，我们称其为金融监控软件。。。。。。
金融监控软件是一个无启动图标的应用 ，，，，，，，通过伪装软件举行开启 ，，，，，，，并将主控地点通过Intent转达。。。。。。在基础的设置功效上与伪装软件相同 ，，，，，，，接纳效劳器响应的“b接口”或相同接口 ，，，，，，，因此不再对其举行流程化剖析 ，，，，，，，下面临其API接口功效和主要功效信息举行剖析。。。。。。
（一）API接口功效
要害功效剖析
01 权限界面开启
金融监控软件无启动图标 ，，，，，，，在仿冒软件中通过意图开启 ，，，，，，，并通过差别的auth值来控制金融监控软件申请权限 ，，，，，，，“1”是申请短信权限；；；；；；；；“2”是申请通知权限；；；；；；；；“3”是使用情形审查权限；；；；；；；；“4”是申请悬浮窗权限。。。。。。
仿冒软件开启金融监控软件源码如下：
金融监控软件权限申请控制源码如下：
02 远程控制
在对受害者诈骗的历程中 ，，，，，，，恶意软件可以实时远程控制目的装备 ，，，，，，，主要针对目的银行举行操作 ，，，，，，，如设置弹窗、锁定/扫除锁定和设置署理等。。。。。。
远程控制源码如下：
03 金融软件操控
在远控功效中 ，，，，，，，具有一系列试图控制用户金融应用使用的下令 ，，，，，，，其中就包括下发弹窗和锁定目的银行的功效 ，，，，，，，而锁定的方法则是通过load应用包中定制开发的各个金融应用的html伪装页面 ，，，，，，，并以此获得受害者的金融账户密码。。。。。。
伪装金融应用的弹窗页面和锁定页面如下：
弹窗和锁定页面 ，，，，，，，在监控的金融软件开启时触发 ，，，，，，，若是在远程控制响应目的中 ，，，，，，，则执行响应操作。。。。。。执行操作的源码如下：
目的金融软件如下表所示：
陆
总结
本报告对移动端通过窃取人脸识别质料举行金融诈骗攻击运动举行了深入剖析。。。。。。通过对攻击运动的视察和研究 ，，，，，，，我们发明攻击者伪装成正当机构的应用程序 ，，，，，，，诱使用户下载并使用 ，，，，，，，进而窃取用户的面部生物特征数据及小我私家金融信息。。。。。。攻击运动主要通过两个渠道睁开：一是伪装成政府或金融机构的应用 ，，，，，，，以获取用户的信托并获取面部生物特征数据；；；；；；；；二是使用定制化的金融监控软件诱导用户装置 ，，，，，，，以监控用户的金融软件状态并获取敏感信息和实时控制。。。。。。
此次攻击运动对金融行业清静具有里程碑式的警示意义。。。。。。古板的攻击手法经常直面金融清静防火墙 ，，，，，，，如仿冒金融软件垂纶、通过辅助功效监控金融软件运行等 ，，，，，，，可是在愈演愈烈的攻防对抗中 ，，，，，，，古板攻击手段已很难抵达其目的。。。。。。随着AI手艺的生长及其在金融领域的实践 ，，，，，，，类似金相狐组织接纳迂回战术 ，，，，，，，借助AI手艺从不接触金融软件的通道实验攻击也酿成了现实 ，，，，，，，配上强力的剖析对抗手段 ，，，，，，，金融行业应用已经很难从自身清静系统中感知到此类攻击行为 ，，，，，，，为此 ，，，，，，，追求有大数据和手艺能力的清静厂商团结布防变得尤为主要。。。。。。
针对特定人群怎样阻止遭受移动端上的攻击 ，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!病毒响应中心移动清静团队提供以下防护建议：
实时更新系统和应用 ，，，，，，，在正规的应用市肆下载应用。。。。。。海内的用户可以在手机自带的应用市肆下载 ，，，，，，，外洋用户可以在Google Play下载。。。。。。不要装置不可信泉源的应用、不要随便点击不明URL或者扫描清静性未知的二维码。。。。。。
移动装备实时在可信网络情形下举行清静更新 ，，，，，，，不要容易使用不可信的网络情形。。。。。。
禁止易开启Root权限；；；；；；；；对请求应用装置权限、激活装备治理器等权限的应用要特殊审慎 ，，，，，，，一样平常来说通俗应用不会请求这些权限 ，，，，，，，特殊是装备治理器 ，，，，，，，正常的应用基本没有这个需求。。。。。。
确保装置有手机清静软件 ，，，，，，，举行实时�；；；；；；；；ば∥宜郊夜ひ登寰�；；；；；；；；如装置意昂体育-科技赋能场景,让娱乐更有趣!移动清静产品。。。。。。
现在 ，，，，，，，基于意昂体育-科技赋能场景,让娱乐更有趣!自研的猫头鹰引擎、QADE引擎和威胁情报数据的全线产品 ，，，，，，，包括意昂体育-科技赋能场景,让娱乐更有趣!威胁情报平台（TIP）、意昂体育-科技赋能场景,让娱乐更有趣!天狗误差攻击防护系统、天擎、天机、天守、天眼高级威胁检测系统、意昂体育-科技赋能场景,让娱乐更有趣!NGSOC（态势感知与清静运营平台）、意昂体育-科技赋能场景,让娱乐更有趣!羁系类态势感知等 ，，，，，，，都已经支持对此类攻击的准确检测。。。。。。
柒
IOCs
捌
附录1意昂体育-科技赋能场景,让娱乐更有趣!病毒响应中心
意昂体育-科技赋能场景,让娱乐更有趣!病毒响应中心是北京意昂体育-科技赋能场景,让娱乐更有趣!科技有限公司（意昂体育-科技赋能场景,让娱乐更有趣!）旗下的病毒判断及响应专业团队 ，，，，，，，背靠意昂体育-科技赋能场景,让娱乐更有趣!焦点云平台 ，，，，，，，拥有逐日万万级样本检测及处置惩罚能力、逐日亿级清静数据关联剖析能力。。。。。。团结多年反病毒焦点清静手艺、运营履历 ，，，，，，，基于集团自主研发的QOWL和QDE（人工智能）引擎 ，，，，，，，形成跨平台木马病毒、误差的查杀与修复能力 ，，，，，，，并且具有强盛的大数据剖析以及实现全平台清静和防护预警能力。。。。。。
意昂体育-科技赋能场景,让娱乐更有趣!病毒响应中心认真支持意昂体育-科技赋能场景,让娱乐更有趣!全线清静产品的病毒检测 ，，，，，，，起劲响应客户侧的清静反响问题 ，，，，，，，可第一时间为客户扫除疑难杂症。。。。。。中心曾多次处置惩罚重大病毒事务、加入重大运动清静包管事情 ，，，，，，，受到客户的高度认可 ，，，，，，，提升了意昂体育-科技赋能场景,让娱乐更有趣!在业内的品牌影响力。。。。。。
玖
附录2意昂体育-科技赋能场景,让娱乐更有趣!病毒响应中心移动清静团队
意昂体育-科技赋能场景,让娱乐更有趣!病毒响应中心移动清静团队一直致力移动清静领域及Android清静生态的研究。。。。。。现在 ，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!的移动清静产品除了可以查杀常见的移动端病毒木马 ，，，，，，，也可以精准查杀时下盛行的刷量、诈骗、博彩、违规、色情等黑产类软件。。。。。。通过其内部分析系统可以有用支持对溯源剖析等追踪。。。。。。团队团结自研QADE引擎和高价值移动端攻击发明流程已捕获到多起移动攻击事务 ，，，，，，，并宣布了多篇移动黑产报告 ，，，，，，，对外披露了多个APT组织运动。。。。。。近三年来已首发披露五个全新APT组织（诺崇狮组织SilencerLion、利刃鹰组织BladeHawk、艾叶豹组织SnowLeopard、金刚象组织VajraEleph和沙猁猫组织Caracal Kitten）。。。。。。未来我们还会一连走在全球移动清静研究的前沿 ，，，，，，，第一时间追踪剖析最新的移动清静事务、对海内移动相关的黑灰产攻击举行深入挖掘和跟踪 ，，，，，，，为维护移动端上的网络清静砥砺前行。。。。。。
连忙拨打
京公网安备11000002002064号