短信拦截马是什么?顾名思义就是一种可以拦截到他人短信的木马。它既可以控制拦截用户手机中收到的短信，让用户无法实时收到短信，还会将用户手机中的短信内容私自发送到攻击者的手机和邮箱中。

瑞星安全研究人员通过对“短信拦截马”病毒研究分析发现，短信拦截马最容易伪装成移动掌上营业厅、淘宝、支付宝、相册、视频、学习资料等手机APP客户端，让大家误以为是官方APP，从而放松警惕，安装运行。

图：“短信拦截马”病毒图标伪装

“短信拦截马”为了防止安全人员逆向分析研究，将代码进行混淆，但是包内文件结构一致，内容也很类似。

图：“短信拦截马”病毒样本包结构

木马运行后为了获取设备管理器权限，会在启动界面上提示“提高权限获取保护”等词语，诱导用户激活设备管理器权限，而一旦用户激活了此权限，木马病毒便会隐藏自身图标，很难被卸载。可如果用户选择取消激活设备管理器，木马病毒则会弹出警告: “谨慎操作!取消激活可能会影响手机正常使用”等字语威胁用户。

图：提示用户激活设备管理器权限

当“短信拦截马”病毒程序安装完毕后，木马便遍历用户手机中的个人隐私信息，如通讯录、短信等，然后将获取的信息发送到攻击者的邮箱中。当然，黑产更关注的是银行等支付交易的验证码短信，当黑产团伙同时掌握了用户的银行卡信息和验证手机后，就可以通过拦截短信验证码进行资金交易转账等一系列操作。

其实，这类“短信拦截马”的技术原理及实现并不复杂，而且利用的技术手段也大致相同，几乎都是通过注册短信广播或者观察模式监控手机短信的收发过程，从而实现短信拦截和窃取用户个人隐私的恶意功能。

目前，Android应用的开发相对较为简单，结合目前较为流行的钓鱼网站，“短信拦截马”作为一个功能简单、开发成本低、获利颇高的非法牟利手段，很快就能在短时间内形成一套完整的黑色产业链。

瑞星安全研究人员介绍，“短信拦截马”家族此时还正继续在社会上传播蔓延，变种的速度也很快，欺诈性也很强，传播渠道也很广，很容易造成大范围的经济损失以及个人隐私的泄露。希望大家能自我建立良好的上网习惯，以及对钓鱼网站和欺诈信息的高度警惕，最大程度上避免自己的隐私和财产受到此类病毒诈骗的威胁。同时，大家还可以下载并使用瑞星手机安全助手对该类木马进行检测和查杀。

病毒详细分析

木马安装成功后，会给攻击者的手机发送一条短信，提示该木马安装完毕。

图：发送识别码

木马将盗取用户的短信、通讯录等通过SMTP协议发送到指定的邮箱。由于使用SMTP协议发送邮件，需要发件人的邮箱账号密码。所以样本中内置了牧马人的发件邮箱账号密码。

图：使用163发信

早期样本中，发件邮箱账号和密码都是明文形式存在文件中，随着样本的升级，病毒作者以加密形式保存了此信息，但是通过调试也很容易解密出发件邮箱的账号密码。使用邮件收信在很早之前的木马中流行过，但因为要内置发件邮箱的账号密码，这种方法很早就被淘汰，此木马中仍然使用邮箱发件，足可看出该木马的水平非常底下。

图：加密过的邮箱账号密码

该木马还会替换收件信息内容中的敏感字，逃避杀毒软件和一些流量邮件监控软件的检测。

图：敏感字替换

样本安装运行后还会向用户的所有联系人发送短信进行恶意传播，内容为： 我给你录了视频你看下 123.60.159.122/Zet 。当联系人收到该短信访问此链接后又会下载该木马病毒。

图：木马通过短信传播

样本信息