作者stockapp (平安就是福)
看板CVS
标题[讨论] 小心假冒7-11 中奖礼券1000元的诈骗简讯
时间Tue May 13 16:56:50 2014
各位版友好, 因我们在做手机防骇APP的研究，今天接获用户回报，有新型假冒7-11名义
发送的诈骗简讯正在流窜。内容如下：
「恭喜你获得7-11礼券1000元请下载领奖单据https:// db.tt/xxxxx领收.
可直接加值於7-11发行之icash卡」
经过实际测试，这个点连结後会连到Dropbox网站，如果下载，这恶意APK具有
读取使用者简讯、以及代使用者发送简讯的权限，开启後会从手机桌面消失。
让人不易找到。
提醒大家，近期很多假冒各种企业名义的诈骗简讯（黑猫、台电、或电信商简讯活动
都被假冒过）引导下载app，是这阵子常见的骗取个资或要诈骗小额付款的手法。
我们有写一个侦测透明app防骇工具，可从Google Play官方下载：
http://goo.gl/8Fvrik
可以从单一权限侦测的隐藏APP或简讯权限，扫看看是否有可疑的APP。
另外把最新诈骗简讯类型与手法都整理在这里，版友如果有收到相关讯息，可多比对
http://callsaver-antiscam.blogspot.tw/
如果有类似问题，或处理疑问，可以推文，小弟知道的再回覆告知。
(iPhone手机不受这类型的攻击）
*** 提醒平常防护之道***
1. 将Play Store 下载未知来源关闭。Android手机：Menu->设定->安全性->装置管理，
请确认「未知的来源」没有勾起。不要再安装非Google Play以外的APP。虽然Google
Play 不代表绝对安全，但因为Google有持续在扫描，已经监控，若有异常很快会下架。
2. 勿点选可疑讯息的短网址，特别是跟取货、消费、金融、缴费等有关。
3. 朋友用FB/Line/SMS传送说要您帮忙买游戏点数，或者叫你投票等，几乎都是诈骗。
4. 不要在公用电脑上FB/Line之类。
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 125.224.254.242
※ 文章网址: http://webptt.com/cn.aspx?n=bbs/CVS/M.1399971413.A.05A.html
※ 编辑: stockapp (125.224.254.242), 05/13/2014 16:57:36
1F：推 kkb702564:高调 推一下 无所不用其极的诈骗集团 真她x的= =! 05/13 18:55
2F：推 alston081920:我真的有收过5/11的类型..是传最原始的手机简讯 05/13 19:33
3F：推 lanretee:谢谢分享！ 05/13 19:35
4F：推 love2005evol:今天中午有收到……有点开还好没有载OAO 05/13 19:51
5F：推 givigan:刚刚收到但是我知道现在礼券不能 05/13 19:55
6F：推 givigan:储值到icash又是缩网址让我想到之前黑猫的诈骗简讯 05/13 19:57
7F：推 amanoalashi:推! 今天收到[黑猫宅急便]签收单电子凭证 05/13 21:54
8F：推 foxpig:推 楼上的简讯我也收过 05/13 23:43
9F：推 kaworucloud:就算点了连结，下载回来别安装就好了啊，又不是会自动 05/14 00:06
10F：→ kaworucloud:安装… 05/14 00:07
11F：→ kaworucloud:就算不幸手残安装了，在开启前直接删除也来得及啊 05/14 00:07
这个不一定喔。如果安装好，就算不开启。有的还是会在背景做坏事.
12F：→ kaworucloud:来路不明的apk还敢开启，跟在桌里email里开exe附件一 05/14 00:09
13F：→ kaworucloud:样蠢，资安观念太薄弱，习惯太差才会中招吧… 05/14 00:10
14F：推 kaworucloud:会持续在背景运作的程式称为服务，但不管是程式或服务 05/14 09:56
15F：→ kaworucloud:都没办法在安装完成後自动执行，服务在刚安装完成後是 05/14 09:57
16F：→ kaworucloud:处於STOPPED状态，这个跟你去设定里对该程式按下强制 05/14 09:57
17F：→ kaworucloud:停止後的状态是一样的。如果不经由市集，而是直接从浏 05/14 09:59
18F：→ kaworucloud:览器下载APK，甚至不会在下载後自动执行安装动作。 05/14 09:59
19F：→ kaworucloud:就算是开机时自动执行，在安装之前也会提示你需要授予 05/14 10:01
20F：→ kaworucloud:「开机时自动启用」权限，并且重开机後才会执行，要经 05/14 10:02
21F：→ kaworucloud:由此管道让人中招也太难了 05/14 10:02
用步骤来解释：
1. 点连结。
2. 下载APK。
3. 安装APK。
4. 执行APK。
Android 技术上只要到步骤3安装完，不用写成service，也可以在背景做事哦。
作法是用注册BroadcastReceiver ，监控一些event，
譬如侦测网路变化、或者位置变化、萤幕开关、安装程式，就可以trigger执行
想要做的事。
22F：推 kaworucloud:在步骤3装完後，程式是处於inactive状态，而inactive 05/14 12:26
23F：→ kaworucloud:状态下的BroadcastReceiver是不起作用的吧，系统在 05/14 12:27
24F：→ kaworucloud:broadcast事件时会略过inactive的程式 05/14 12:27
Android机制只要安装完，针对
<intent-filter>要监控的event，就可以唤起BroadcastReciever对应的
onReceive()动作。
所以即使重新开机，该app不用写rebootreceiver去启动app，
还是可以背景去做ReceiveSMS、ReadSMS、SendSMS等动作。
这部份您可写一个简易app，可看到实际运作机制喔.
※ 编辑: stockapp (125.230.110.75), 05/14/2014 13:37:51
25F：推 MELOEX:好专业的讨论@@! 05/14 14:21
26F：推 kaworucloud:我写了，也测了，结果跟我所说的一样。我的测试程式在 05/14 14:44
27F：→ kaworucloud:收到wifi状态改变时，会丢一个讯息去notification bar 05/14 14:46
28F：→ kaworucloud:显示，就这麽简单。测试结果，在刚安装完後，我开关 05/14 14:47
29F：→ kaworucloud:wifi都没有出现提示，当我执行程式之後，再开关wifi， 05/14 14:47
30F：→ kaworucloud:这时我写的提示就跑出来了，当我去设定里强制停止我的 05/14 14:48
31F：→ kaworucloud:程式後，开关wifi又没有提示了。 05/14 14:48
32F：→ kaworucloud:强制停止就是将程式状态由active转为inactive，在刚安 05/14 14:49
33F：→ kaworucloud:装完程式，尚未执行前，我看这颗强停钮也是disabled的 05/14 14:49
34F：→ kaworucloud:执行了程式後，强停钮才enable起来，跟我的认知符合。 05/14 14:50
35F：→ kaworucloud:PS.我的Android版本是4.0.3 05/14 14:51
可以写一只比较简单的，如下sample code。安装完不用开启。
然後到Google Play下载一个app，就可以看到Log.e跳出讯息哦。提供您参考:)
<receiver android:name =".ListenerInstalledApp">
<intent-filter>
<action android:name="android.intent.action.PACKAGE_INSTALL"/>
<action android:name="android.intent.action.PACKAGE_ADDED"/>
<data android:scheme="package" />
</intent-filter>
</receiver>
//////////////////////////////////////
ListenerInstalledApp.java
@Override
public void onReceive(Context context, Intent intent) {
String action= intent.getAction();
String packageName = intent.getDataString();
Log.e("INSTALL","new: "+packageName);
Toast.makeText(context, packageName+ "installed",
Toast.LENGTH_LONG).show();
※ 编辑: stockapp (125.230.110.75), 05/14/2014 15:06:14
36F：→ kaworucloud:我加了侦测apk安装的事件，结果跟wifi的测试一模一样 05/14 16:07
37F：→ kaworucloud:在执行前就算安装了也不会跳讯息，执行後才会，强停之 05/14 16:08
38F：→ kaworucloud:後讯息又不跳了 05/14 16:08
39F：→ kaworucloud:另外请问您在哪边看Log.e讯息的？不透过debugger的话 05/14 16:09
我是用ddms-Android sdk内建的侦测工具.
40F：→ kaworucloud:我不知道要如何看到Log.e的讯息耶 05/14 16:10
42F：→ kaworucloud:是在Android 3.1版之後才做的变更，请问您测试的OS版 05/14 16:24
43F：→ kaworucloud:本是？ 05/14 16:24
4.2
我来做一些不同测试，有心得再跟您分享^^
※ 编辑: stockapp (125.230.110.75), 05/14/2014 16:41:56
44F：推 barttien:我的疑问是，为什麽大家要讨论这麽复杂?不是直接打电话 05/14 23:49
45F：→ barttien:取消电信公司小额付费，不明连结不要点就好了吗？ 05/14 23:49
46F：推 panda83:长辈还是会点...还好因为无法下载打电话来问 05/15 12:31
47F：推 leejee:已下载 找不到删除地图记录的连结? 05/15 19:15