新银行木马“Eventbot”，影响234个金融应用 – 作者:奇安信威胁情报中心-安全小百科

背景介绍

2020年无疑是多灾多难的一年，虽然时间目前只过去了四分之一。但借着“新冠肺炎”各种衍生的自然灾难、人为灾难接踵而至。

近期奇安信病毒响应中心在日常监测中，发现了一种新的移动银行木马Eventbot，其最早可以追溯到2020年3月1日。Eventbot使用了全新的代码结构，与目前已知的银行木马完全不同。经过分析我们发现Eventbot目前可能只是处于测试阶段，其繁琐的功能以及影响的金融应用众多。目前其主要针对欧洲一些国家的银行应用、一些加密货币钱包应用等共234个（见附录）。

Eventbot样本信息：目前发现的样本，其都使用相同的包名com.example.eventbot，代码功能也不够完善，并且代码并没有经过混淆加密处理，因此我们推断其正处于测试阶段。根据我们对样本的溯源，发现其最早出现在2020年3月1日。

样本分析

Eventbot其功能繁多，相比于近期比较活跃的Cerberus、Anubis、Joker等毫不逊色。

样本信息

应用名	Flash Update
包名	com.example.eventbot
MD5	F73F66B15791A42DAC86D0CED46D660F
图标

运行截图：

样本功能

Eventbot木马通过仿冒正常应用图标诱骗用户安装使用，其运行以后会通过仿冒升级更新，隐藏自身图标达到保护自身。Eventbot木马通过Accessibility Service功能实施对用户手机的监控，恶意功能多达50多种。其运行后会通过服务端下发指令，实施对用户手机的操控，例如：获取并上传用户手机短信，获取并上传用户手机配置信息，获取并上传用户手机已安装应用，对用户手机浏览器进行注入，启动用户手机指定APP，删除指定应用，更新恶意插件等恶意行为。

代码分析

获取C2：

通过服务端下发指令：

获取并上传用户手机短信：

操控用户手机：

上传用户信息：

数据包：

影响分析

Eventbot主要以金融行业为目标，通过分析我们发现目前其影响了英国、德国、意大利、西班牙等国的十来家银行APP，总共影响234个金融APP，尤其以虚拟货币交易平台为主。

Eventbot仿冒的主要图标：

Eventbot影响的金融行业APP图标举例：

从中我们可以看到，Eventbot主要以虚拟货币交易平台为主要目标，虽然国内早已经关闭了虚拟货币的交易，但依然有很多人通过“科学上网”，通过一些虚拟货币交易平台在进行买卖，其中很大一部分平台APP在Eventbot的目标之中，这些无疑增加了国内用户手机中招的概率。

总结

进入2020年以后，Android银行木马随着“新冠肺炎”的爆发变得异常活跃，继Cerberus、Anubis木马之后，又出现了全新的木马Eventbot。虽然目前Eventbot木马只是处于测试阶段，实质性的危害还没有扩大，但其潜在的影响广泛，对国内一些进行虚拟货币交易的用户具有潜在的威胁。奇安信病毒响应中心会随时关注相关木马的实时动态，同时奇安信病毒响应中心提醒用户不要安装未知来源的APP，同时提高个人的安全意识。

目前奇安信威胁情报中心文件深度分析平台：（https://sandbox.ti.qianxin.com/sandbox/page）已支持Android样本分析：

同时基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC等，都已经支持对此类攻击的精确检测。

IOC

文件MD5：

7107AC3BCCD8DB274B21F0E494E3ECCC

8A563B6AF3CF74C8CBB88B99E104D949

F73F66B15791A42DAC86D0CED46D660F

7F5D728119951839B46895808107B281

B3F4746A6C21D030D2B73FF2AC3CEC2F

66AE6BB78ED76B252C2EA6EC8072B0E8

664118A72533D9A0D60E9CABA439FE28

E1229D332CA43AC2B640084A0DAE9BBE

8793359481AB88914B5E60625F57277C

36988753860CD9F919B9D2A94C0AF0FC

C2:

http://themoil.site/gate_cb8a5aea1ab302f0_c

http://ora.carlaarrabitoarchitetto.com/gate_cb8a5aea1ab302f0_c

http://ora.studiolegalebasili.com/gate_cb8a5aea1ab302f0_c

附录

受影响的234家金融机构应用包名：

包名	包名	包名列3
com.ownrwallet.wallet	mobi.societegenerale.mobile.lappli	doge.org.freewallet.app
com.aurigaspa.bancadalba	it.csebo.fec3mobileProd05772	it.relaxbanking
es.lacaixa.mobile.android.newwapicon	com.intesasanpaolo.inbiz	com.revolut.revolut
com.tabtrader.android	com.sella.BancaSella	ftb.ibank.android
it.creval.bancaperta	com.opentecheng.android.webank	com.wirex
com.plutus.wallet	com.kutxabank.android	it.cedacri.hb3.crasti
com.grppl.android.shell.BOS	com.latuabancaperandroid.ispb	com.fideuram.phone
com.cryptotab.android	com.cryptoviewer	com.coinmarketcap.android
com.mansoon.cryptopop	io.cex.app.prod	com.latuabancaperandroid
com.jhapps.easyfaucetclaimer	it.csebo.fec3mobileProd06150	com.avuscapital.trading212
cedacri.mobile.bank.crbolzano	btg.org.freewallet.app	clientapp.swiftcom.org
it.bnl.apps.enterprise.hellobank	com.payeer	it.gruppobper.ams.android.bper
ch.postfinance.android	com.conio.wallet	app.pay98
co.mona.android	it.bnl.apps.banking	cash.usdx.wallet
com.chlegou.bitbot	com.pundix.xwallet	net.bitbay.bitcoin
com.paytomat	com.coinninja.coinkeeper	com.mediolanum.android.fullbanca
it.csebo.fec3mobileProd05156	com.beeweeb.findomestic	com.mercuryo.app
it.cedacri.hb3.crcento	it.bper.mobile.mymoney	com.mycelium.wallet
it.archie.ccbcarteprepagate	com.cryptonator.android	uk.co.tsb.businessmobilebank
com.paxful.wallet	cedacri.mobile.bank.bppb	com.bitpanda.bitpanda
de.postbank.finanzassistent	it.bnl.apps.banking.privatebnl	mw.org.freewallet.app
com.caisseepargne.android.mobilebanking	io.bluewallet.bluewallet	com.lloyds.ccdm
com.fullsix.android.labanquepostale.accountaccess	uk.co.cumberland.banking.pay2mobile	com.wavesplatform.wallet
uk.co.metrobankonline.mobile.android.production	com.grppl.android.shell.halifax	com.illimity.mobile.rtl
com.arkea.android.application.cmb	com.tideplatform.banking	com.eofinance
io.eidoo.wallet.prodnet	io.kriptomat.app	com.enjin.mobile.wallet
it.popso.SCRIGNOapp	com.crypterium	com.bitnovo.app
com.todo1.mobile.deleteTHIS3	lt.lemonlabs.android.paysera	com.starfinanz.smob.android.sfinanzstatus
co.uk.getmondo	it.csebo.fec3mobileProd05652	com.unicredit
com.bbva.netcash	com.citibank.mobile.au	com.ie.vanquis.interact.shell
com.crypto.currency	it.chiantibanca.inbank	com.swissborg.android.community
it.hype.app	com.lloydsbank.businessmobile	com.binance.dev
de.schildbach.wallet	it.cedacri.hb2.bpbari	com.bankofqueensland.boq
com.ecoPayz.appID	com.libertex.mobile	at.volksbank.volksbankmobile
com.tmobtech.halkbank	com.moneybookers.skrillpayments	com.lynxspa.bancopopolare
com.tforp.cryptogdx	com.mal.saul.coinmarketcap	com.plunien.poloniex
com.db.pbc.miabanca	io.getdelta.android	com.wallet.crypto.trustapp
com.spot.spot	com.starlingbank.android	com.db.coo.secureauthenticator
com.dowallet	com.liberty.jaxx	com.barclays.android.barclaysmobilebanking
com.bitcoin.mwallet	com.developerdesing.bitcoin	fcabank.myfcabank
it.icbpi.mobile	ltcc.org.freewallet.app	co.edgesecure.app
uk.co.hsbc.hsbcukmobilebanking	it.bnl.mybiz	com.coinbase.android
com.swftcoin.client.android	com.aci.ocean.mobile	com.mosync.app_Banco_Galicia
com.monitise.client.android.yorkshire	com.coinstats.crypto.portfolio	at.paysafecard.android
im.token.app	quarecy.crypto	com.magnum.wallet
fr.banquepopulaire.cyberplus	com.tarjetanaranja.emisor.serviciosClientes.appTitulares	it.cabel.mito.mimo.android
com.vipera.chebanca	com.touchin.perfectmoney	cloud.money.server.mining
co.bitx.android.wallet	com.garanti.cepsubesi	com.ptpwallet
com.interactive_crypto.app	com.monitise.client.android.clydesdale	io.atomicwallet
net.inverline.bancosabadell.officelocator.android	com.cointiply.earn	com.electroneum.mobile
uk.co.tsb.newmobilebank	com.polehin.android	net.bitstamp.app
hashengineering.darkcoin.wallet	uk.co.santander.santanderUK	com.syndicomsolutions.ecoinia
com.thanksmister.bitcoin.localtrader	eth.org.freewallet.app	com.altcoinfantasy.altcoinfantasy
com.bitpie	com.kbc.mobilebanking	uk.co.bankofscotland.businessbank
it.ingdirect.app	pl.bzwbk.bzwbk24	com.tescobank.mobile
ch.raiffeisen.android	com.coinomi.wallet	de.number26.android
com.ocito.cdn.activity.banquenuger	it.nogood.container	com.cajaingenieros.android.bancamovil
com.supercrypto.cryptocyrrency	com.jdevelops.claimmultifaucet	com.moneybookers.skrillpayments.neteller
es.ibercaja.ibercajaapp	com.bitrue.currency.exchange	lt.spectrofinance.spectrocoin.android.wallet
com.grppl.android.shell.CMBlloydsTSB73	com.monitise.coop	exodusmovement.exodus
com.bancsabadell.wallet	com.Plus500	app.wizink.es
org.toshi	btc.org.freewallet.app	com.csg.cs.dnmb
it.copergmps.rt.pf.android.sp.bmps	piuk.blockchain.android	com.xapo
com.ie.capitalone.uk	es.ceca.cajalnet	com.commbank.netbank
com.myetherwallet.mewconnect	com.advantage.RaiffeisenBank	com.mediaengine.allianzbank
com.romerock.apps.utilities.cryptocurrencyconverter	it.bancagenerali.mobile	com.barclays.bca
com.blockfolio.blockfolio	au.com.heritage.app	com.tronwallet2
it.gruppocariparma.nowbanking	com.niyo.global	com.remitano.remitano
it.cartasi.mobilepos	com.twogetherbank.app	com.bbva.bbvacontigo
com.quppy	com.bitpay.wallet	com.bankinter.launcher
cobo.wallet	co.uk.mycashplus.maapp	aib.ibank.android
com.barclaycard.germany	io.totalcoin.wallet	network.celsius.wallet
com.latuabancaperandroid.pg	com.payoneer.android	com.crypter.cryptocyrrency
com.changelly.app	it.phoenixspa.inbank	it.volksbank.android
posteitaliane.posteapp.appbpol	com.mirlimited.muchbetter	de.commerzbanking.mobil
crypto.aliens.bch	com.monese.monese.live	cedacri.mobile.bank.hb2.bari
com.CredemMobile	com.cmcm.blockchain.bitcoin.ethereum.safewallet	com.wrx.wazirx
com.coingecko.coingeckoapp	it.iwbank.banking	com.nexowallet