安卓惡意軟體FakeCall出現新手法，用戶聯繫銀行的電話會轉介到詐騙人員以便進行後續攻擊

自2022年卡巴斯基揭露專門透過語音網路釣魚（vishing）從事攻擊行動的惡意軟體FakeCall，過程中駭客會冒充銀行撥打電話引誘受害者上當，提供個人金融資料而受害，如今此惡意軟體的攻擊行動再度升溫，引起研究人員關注。

資安業者Zimperium表示，他們近期發現此惡意程式的攻擊手段出現顯著變化。照理來說，攻擊者藉由網路釣魚引誘安卓使用者下載APK檔案之後，此安裝檔會將第二階段的惡意酬載（即FakeCall）植入受害裝置，從而接收C2命令執行各種誘騙使用者的作業，但研究人員指出，近期的FakeCall出現數種過往未曾出現的做法。

其中一種是名為Screen Receiver的元件，攻擊者藉此監控螢幕為開啟或是關閉，這麼做的目的，就是避免洩露程式碼當中存在的惡意行為。另一種叫做Bluetooth Receiver的元件，也有類似的功能，主要是監聽受害裝置的藍牙連線狀態，但究竟攻擊者會如何運用，目前仍不得而知。

而對於安卓惡意程式頻繁濫用的無障礙服務，新的FakeCall則是更進一步，整合基於Accessibility Service而成的新服務，使得攻擊者不僅能控制操作介面，甚至可從螢幕顯示的內容捕捉機敏資訊。

除此之外，攻擊者也能藉此監控受害者撥打電話的行為，或是指定在特定情況下自動提供權限，甚至能進一步讓攻擊者遠端控制受害裝置。

值得留意的是，這款惡意程式還會尋求使用者授權，設置為預設的撥打電話應用程式，一旦使用者同意，該惡意程式就會在使用者嘗試聯繫金融機構時，重新將通話導向攻擊者控制的詐騙號碼，但在此同時手機仍會顯示用戶撥打的金融機構號碼，從而讓攻擊者有機會騙得受害者的財務資訊，洗劫他們的金融帳戶。