170餘款安卓應用程式以提供雲端挖礦的名義行騙，近10萬人受害

加密貨幣對於許多人相當有吸引力，但歹徒也盯上這塊領域，來進行詐騙。行動裝置防毒業者Lookout發現駭客鎖定Android用戶，以標榜可為用戶挖礦獲利的應用程式，來收取各式費用牟利，但實際上這些都是騙局，而且，背後發動攻擊的可能還不只一組人馬。

Lookout的研究人員最近發現了超過170個Android應用程式，以上述的名義，宣稱提供雲端的加密貨幣挖礦服務，並向用戶收取相關費用，不過，研究人員在分析這些App後指出，這些軟體的發行者實際上根本沒有提供這類服務。而這些App當中，有25個已經上架到Google Play市集，Google獲報後亦全數下架。

透過上述挖礦名義的App行騙，Lookout指出，攻擊者至少詐騙了9萬3千人，並從這些使用者支付的費用，例如購買應用程式功能、升級，以及服務當中，竊得了35萬美元。

依據App所運用的技術差異，Lookout將它們分成2種攻擊手法，並命名為BitScam和CloudScam。它們都標榜透過雲端的礦池，為使用者挖礦，用戶不需自行購買設備與消耗大量的電力，就能挖到加密貨幣獲利。這些應用程式多半都是必須付費才能取得，而使用者運用當中的服務進行挖礦，可能還要訂閱相關的服務，這些費用多半可以藉由Google Play的應用程式內付款的方式支付。但不同的是，BitScam額外提供了比特幣與以太坊等加密貨幣的支付方式。

一旦用戶安裝了歹徒提供的應用程式，他們會看到儀表板，顯示挖掘的速度和「賺取」的加密貨幣數量。為了引誘受害者購買升級版服務，挖掘加密貨幣的速度非常緩慢。而在研究人員分析程式碼後發現，這些App顯示的加密貨幣數值其實是虛構的，僅是緩慢遞增的計數器，而並非真正在挖礦的硬幣數量。再者，這個計數器僅在前臺執行，如果遇到裝置重新開機或是應用程式重新開啟，通常就會被歸零。

這些應用程式內標示，加密貨幣必須達到一定的金額才能提領，但實際上，受害者就算真的達到了門檻，還是無法提款，應用程式僅會顯示交易正在處理中，不過，在系統的層面而言，該App僅會把用戶餘額重置為零。針對這一波攻擊，Lookout呼籲想要購買真實雲端挖礦服務的用戶，必須透過檢視應用程式評價，並從Google Play等合法市集取得等方式，來避免受騙上當。