关键词：Android 木马；银行欺诈；短信钓鱼；语音钓鱼；加密劫持；远程访问木马
1 引言
移动端金融欺诈长期是银行业面临的重要安全威胁，而Android 平台因其开放的应用安装生态，成为此类攻击最主要的承载环境。2026 年 10 月，网络安全厂商 Group-IB 公开了对一个定向攻击印度金融服务业的多家族 Android 恶意软件活动的分析结果。该活动自 2025 年 1 月起已有受害者报告，至 2025 年 7 月起被系统追踪，其背后是一个被标识为 CyberDakait 的、以经济获利为动机的威胁集群。
这一活动值得关注的原因有三。其一，它以单一、成熟的商业话术作为统一入口—— 以 "信用卡保护计划已被自动激活、需立即取消以避免扣费" 为借口，通过电话与短信诱导受害者下载恶意应用，受害者覆盖印度至少 11 家银行机构与 2 项政府项目。其二，其恶意载荷由 7 个不同家族构成，每个家族均具备短信拦截、通话转接、钓鱼覆盖层窃取信用卡信息与加密挖矿等能力，且在通信基础设施、数据库结构与消息格式上彼此独立，构成一个 "统一集群、分家族开发" 的复杂体系。其三，该活动造成的实际危害规模可观，已确认约 17960 台受感染设备，累计拦截短信超过 761 万条，其中包含一次性验证码、银行交易通知与失窃的信用卡及身份信息。
本文以该技术分析报告为核心材料，试图回答三个问题：这一欺诈活动的社会工程话术为何具有高有效性；其恶意软件家族在技术机理上如何实现凭据窃取、数据回传与持久驻留；面对此类" 话术 — 载荷 — 基础设施" 三位一体的攻击，各方应建立怎样的防范机制。需要说明的是，本文依据公开的技术分析与受害者披露进行机理归纳，不对具体攻击者的身份作超出报告的推测。
2 威胁概况与攻击链概述
从整体看，CyberDakait 集群的攻击以 "社会工程诱导 — 恶意安装 — 数据窃取 — 资金套现" 为主线。Group-IB 的分析显示，攻击者通过协调式的短信钓鱼与语音钓鱼，冒充银行工作人员，将受害者诱导至钓鱼网站，并以 "取消保护计划" 为由，促使其下载托管于 GitHub 仓库的恶意应用安装包。安装包本身作为投放器，在受害者设备上执行主载荷与加密货币挖矿模块，使攻击者得以同时通过直接金融窃取与未授权挖矿获利。
攻击链的第一个环节是话术投递。受害者通常在新信用卡核发后不久收到诈骗电话，这使话术具有明显的" 场景耦合" 特征 —— 攻击者利用了持卡人刚申请卡片、对发卡流程存在记忆的窗口期。第二个环节是诱导下载。来电者以取消 "信用卡保护计划" 为名，将受害者引导至钓鱼页面；该页面提供 "登录"" 申请 ""激活保护" 等行动按钮，点击任一按钮即触发对 GitHub 仓库中恶意应用的静默下载。第三个环节是载荷执行。安装后的应用展示仿造的 Google Play 更新页面，在用户以为正在进行常规更新的同时，于后台静默下载并安装另一独立应用；应用随后请求用户关闭电池优化，以防止操作系统因后台限制而终止恶意进程。第四个环节是数据回传与变现。恶意应用截取短信、转接通话、通过覆盖层窃取信用卡信息，并将数据通过 Telegram 机器人、Firebase 存储与远程服务器回传至攻击者控制的基础设施。
这一攻击链的完成度体现在其闭环性：社会工程负责把用户带到入口，恶意载荷负责收集凭据与验证码，数据回传负责让攻击者掌握交易能力，而挖矿模块则在资金套现之外为攻击者提供了稳定的隐性收益来源。四个环节相互衔接，使受害者在尚未意识到设备被入侵时，账户资金已被支取。
3 社会工程话术：信用卡保护计划骗局
从受害者披露与诈骗文本看，该活动采用的核心话术是" 信用卡保护计划" 自动激活骗局。来电者自称银行信用卡部门工作人员，声称持卡人名下的一项 "信用卡保护计划" 已被自动激活，若不在规定时间内取消，将产生约 5 至 150 美元不等的费用。受害者通常被引导至与银行品牌高度相似的钓鱼页面，并在 "取消计划" 的名义下完成一系列信息填写。
值得注意的还有话术的分层推进。Group-IB 的分析显示，"取消保护计划" 的伪流程被设计为四个渐进阶段，每阶段都以常规流程的面目出现：第一阶段要求填写卡号、有效期与 CVV；第二阶段以 "强制性 KYC 核验" 为由，要求输入网上银行登录凭据及卡背面印刷的网格数字；第三阶段要求提供注册手机号、PAN 卡号与出生日期；第四阶段要求上传信用卡正面照片。四个阶段单看均为合理的业务核验步骤，累计起来却足以完整还原受害者的卡片与身份信息。这种 "化整为零、逐层索取" 的设计，显著降低了受害者对单一环节的警惕。
在传播渠道上，攻击者综合运用短信、电话与即时通讯工具。WhatsApp 对话记录显示，诈骗者发送钓鱼链接并要求受害者 "打开链接填写资料"，或以 "奖励积分即将过期"" 保护计划需取消 " 等为由诱使点击。攻击者还注册了大量仿冒银行品牌的域名，其中相当数量采用与正规域名近似的拼写，进一步削弱了受害者对链接真实性的辨别能力。
4 恶意软件家族的技术机理
该活动的核心威胁在于其恶意载荷的能力复合。Group-IB 将捕获样本划分为 GhostBat（亦称 GhostGrab）、cyb3rx、godz、d-passive、d-shine、tenxen 与 appkjl 七个家族，其共同能力包括短信拦截与回传、短信转发与发送、通话转接，以及通过钓鱼覆盖层窃取信用卡信息。
投放机制方面，初始应用安装包充当投放器。其采用" 伪更新" 手法：安装后显示仿造的 Google Play 应用更新页面，用户误以为正在进行常规更新，实则后台静默下载并安装一个完全独立的应用。为保障持久运行，恶意软件请求用户关闭电池优化，并通过唤醒锁、静默音频循环与前台服务通知渠道等技术手段规避操作系统的后台限制，使自身能够持续驻留。
凭据窃取方面，钓鱼覆盖层是最主要的实施方式。恶意软件在用户使用银行应用或浏览相关页面时，在其上层绘制仿冒的输入界面，诱使用户输入卡号、CVV 、网格数值等敏感信息。由于覆盖层与原应用视觉高度相似，用户难以察觉异常。与此同时，短信拦截为攻击者提供了绕过动态验证的关键能力 —— 被拦截的短信中大量包含一次性验证码与银行交易通知，这些信息被近乎实时地转发至攻击者控制的 Telegram 机器人或 Firebase 存储节点，使攻击者能够在交易发生时同步获取验证要素。
数据回传方面，七个家族在回传渠道上呈现出明显的独立开发特征。cyb3rx 通过 Telegram 机器人以格式化消息回传短信与设备信息；appkjl 与 d-shine 通过远程服务器接口以表单方式提交；godz、d-passive、GhostBat 与 tenxen 则直接向 Firebase 数据库节点写入结构化数据。各家族在字段命名、数据类型与嵌套结构上均不一致，这一差异成为区分独立家族的重要证据。
加密劫持方面，部分家族内置基于XMRig 的挖矿模块。恶意载荷从攻击者控制的服务器下载，经 AES/CBC/PKCS5Padding 方式加密传输，执行后连接至专属挖矿矿池，利用受害者设备的计算资源进行未授权加密货币挖矿。该模块在盗取凭据之外，为攻击者提供了与交易欺诈相叠加的第二重收益，且常造成设备明显发热与电量快速消耗，成为受害者察觉异常的常见信号。
5 基础设施与指挥控制
攻击的基础设施贯穿投递、回传与控制三个环节，且刻意借用可信平台以降低被拦截概率。
在投递环节，恶意应用安装包大量托管于GitHub 公开仓库。分析显示，钓鱼页面的 HTML 源码直接内嵌指向 GitHub 仓库原始链接的下载锚点，仓库以普通账号名义上传，文件名伪装为业务应用。这种做法既利用了 GitHub 域名与托管体系的可信度以规避传统下载信誉过滤，也因账号与仓库分散而显著加大了执法与平台方的关闭成本。Group-IB 指出，此类以可信平台分发恶意载荷的做法正趋于加速。
在回传环节，攻击者综合使用Telegram 、Firebase 与远程服务器三类渠道。Telegram 机器人用于接收格式化的短信与设备注册消息；Firebase 存储作为部分家族的数据落库节点；远程服务器则以接口方式接收表单提交。三类渠道并存且各自独立，既反映了多家族并行开发的运营形态，也为攻击者提供了冗余的数据出口。
在控制环节，分析发现cyb3rx 家族存在专用的管理员控制应用。该应用以设备仪表盘形式呈现，使攻击者能够查看受感染设备的型号、系统版本、SIM 卡信息与最后在线时间，并支持短信转发管理、设备移除、钓鱼数据拉取与命令下发等操作。其命令集涵盖激活或关闭通话转接、设置短信转发、发送短信、执行自定义 USSD 指令与读取设备信息等，表明攻击者能够在远程对受感染设备实施细粒度的操控，而不再局限于被动接收数据。
从整体看，这一基础设施呈现" 投递可信化、回传冗余化、控制集中化" 的特征。投递环节依托 GitHub 提升合法性；回传环节多渠道并存确保数据可达；控制环节以集中式仪表盘实现对批量设备的高效管理。三者结合，构成一个足以支撑长期、规模化运营的攻击基础设施。
6 家族分类与集群归因
将捕获样本划分为七个独立家族，是理解该集群内部结构的关键。Group-IB 的归因逻辑建立在 "共性归集群、差异归家族" 的基础上。
共性层面，七个家族统一于CyberDakait 集群，依据有三：其一，全部服务于针对印度银行与政府应用的协调一致的金融欺诈活动；其二，共享高度相似的社会工程手法、钓鱼域名与 GitHub 托管投递渠道；其三，具备重叠的核心能力集，包括基于 XMRig 的加密劫持模块与用于短信、通话拦截的远程访问木马模块。这些共性表明其具有共同的操作来源。
差异层面，七个家族在通信协议、数据库结构与消息格式上表现出显著不一致。以设备注册与短信回传为例，不同家族在回传渠道（Telegram 、Firebase 或远程服务器）与数据格式（字段命名、嵌套结构、类型定义）上均不统一；指挥控制命令的命名与数量也各不相同。Group-IB 据此判断，各家族更可能是独立开发的并行项目，而非源自单一代码分支的复制品。
将样本归入独立家族而非单一变种，其价值在于为防御提供更精细的情报颗粒度。迪妙网络空间安全学院研究团队在整理同类Android 威胁处置经验时指出，针对此类 "统一集群、多家族并行" 的活动，若仅以集群整体作粗粒度检测，容易因各家族在通信与行为上的差异而产生漏检；唯有对每个家族建立独立的网络流量与行为检测规则，才能实现精确命中。这一判断与报告 "按家族定制检测规则" 的结论一致，也是本文在防范部分将其作为原则的依据。
7 防范体系与建议
迪妙网安研究团队进一步指出，在安全运营侧，针对该集群的检测应建立在" 家族级规则" 而非 "集群级规则" 的基础上，对每个家族的通信渠道、命令集与数据格式分别建模；同时应重视对公开可信平台滥用的监测 ——GitHub 仓库、Firebase 存储与 Telegram 机器人这类对象，往往在传统边界防御的视野之外，却正是该集群数据回传与控制的关键节点。对于已确认受害的用户，报告建议立即联系银行冻结设备曾访问的所有账户，以阻断攻击者利用已窃取凭据实施进一步资金支取。
需要说明的是，上述防范并非一次性工程。该集群自2025 年以来持续运营，基础设施不断投入，恶意能力持续演进，其针对性话术也可能随银行产品与服务的变化而迭代。因此，防范体系需要以持续的威胁情报更新为支撑，而非固化为静态清单。
8 结论
CyberDakait 集群针对印度金融业的活动，呈现出一套高度成熟的欺诈运营范式：以 "信用卡保护计划" 这一情境化话术为统一入口，以七个能力复合的 Android 木马家族为执行载体，以 GitHub、Firebase、Telegram 与远程服务器构成的复合基础设施为支撑闭环，在已确认约 17960 台受感染设备上累计拦截短信超过 761 万条，并使部分受害者蒙受从数十万到上百万卢比不等的经济损失。
编辑：芦笛（公共互联网反网络钓鱼工作组）
