网络安全研究人员近日发现，四个活跃的安卓恶意软件家族正对超过800款应用发起攻击，其中包括加密货币钱包和银行应用程序。这些恶意软件采用了大多数传统安全工具无法检测的方法，对数字资产用户构成重大威胁。
四大木马家族解析：RecruitRat、SaferRat、Astrinox、Massiv
据Zimperium公司zLabs团队发布的追踪报告，这四个木马家族分别为RecruitRat、SaferRat、Astrinox和Massiv。每个家族都拥有独立的命令与控制网络，用于窃取登录凭证、接管金融交易及获取用户设备数据。
一旦安装成功，这些木马能够在合法加密钱包和银行应用之上覆盖虚假登录界面，实时窃取密码和其他敏感信息。安全研究人员指出，恶意软件利用辅助功能服务监控前台应用，在用户启动金融应用的精确时刻触发覆盖攻击，并展示一个“高度逼真的欺骗性页面”。这种HTML覆盖层比传统钓鱼攻击更加隐蔽。
攻击手法升级：多阶段感染与流量混淆
除了窃取凭证，这些木马还能捕获一次性密码、将设备屏幕流式传输给攻击者、隐藏自身图标，并阻止用户卸载。为了传播恶意负载，攻击者使用了不同的诱饵：SaferRat通过提供免费流媒体服务的虚假网站传播；RecruitRat将恶意APK伪装成招聘流程中的必需文件；Astrinox则利用招聘主题的钓鱼网站xhire[.]cc，并根据访问设备类型展示不同内容（安卓用户被诱导下载APK，iOS用户则跳转至仿冒的App Store页面，但研究人员未发现iOS被攻破的证据）。Massiv的分发方式在调查期间尚未确定。
所有四个木马家族均采用钓鱼基础设施、短信诈骗和社会工程学手段，利用用户急切或好奇心理诱导侧载恶意应用。与过去简单的单阶段感染不同，现代安卓银行木马已演进为多阶段安装流程，专门绕过安卓不断变化的权限模型。同时，这些恶意软件将网络通信混杂在常规��量中，使用HTTPS和WebSocket连接与命令服务器交互，部分版本还额外叠加了加密层，使基于签名的检测工具几乎无法识别。
对加密货币用户的深远影响
报告未具体列出被针对的加密货币钱包或交易所，但鉴于覆盖攻击、密码截获和屏幕流式传输等能力，任何基于安卓的加密应用都可能面临风险。一旦用户从短信链接、招聘广告或促销网站下载并侧载恶意APK，资产安全将直接受到威胁。市场分析师认为，此事件可能加剧用户对移动端数字资产管理的信任危机，短期内或推动硬件钱包及可信执行环境解决方案的需求，同时提醒交易所加强生物识别和多因素认证。对于普通用户，仅从官方应用商店下载应用、警惕弹窗提示以及拒绝安装未知来源APK仍是关键防护手段。
随着移动恶意软件日益高级化，加密货币持有者需持续保持警惕，并定期检查设备权限及安全更新。