Android 惡意程式正從「竊取資料」進一步演變為「綁架／接管手機」。資安業者 Group-IB 最新研究指出，銀行木馬程式 RedHook 已升級攻擊手法，不再只是監控使用者操作，而是開始濫用 Android 的 Wireless ADB（無線 Android Debug Bridge） 功能，取得更高層級的系統控制權，讓駭客幾乎能直接操控受害者手機，甚至盜領銀行帳戶資金。
報告指出，RedHook 最早於越南現蹤，目前攻擊範圍已擴及印尼。事實上，這款惡意程式並非首次出現，資安公司 Cyble 早在 2025 年便曾揭露其行蹤，當時主要透過監控螢幕畫面、側錄鍵盤輸入等方式竊取個資，是典型的 Android 銀行木馬。
然而，最新版 RedHook 已具備更高權限，可自行啟用 Wireless ADB，進一步取得 Shell 層級權限，讓惡意程式擁有遠超一般 App 的操作能力，對受害裝置進行更多控制。
值得注意的是，RedHook 並非利用系統漏洞入侵，而是仰賴傳統的社交工程手法，攻擊者通常會假冒銀行客服或政府機關人員，透過電話、簡訊或通訊軟體聯繫受害者，再誘導對方前往偽裝成 Google Play 商店的網站下載 APK 安裝檔。
當使用者完成安裝後，RedHook 會要求開啟無障礙服務（Accessibility） 權限，接著自動操作手機進入開發人員選項（Developer Options），開啟 Wireless Debugging（無線偵錯），並將自己配對成受信任裝置，藉此取得一般 Android 應用程式無法獲得的系統權限。
Group-IB 也發現，RedHook 為了避免遭系統終止，還設計了多項保活（Keep Alive）機制，包括播放靜音音訊避免系統休眠、持續喚醒處理器，以及同時運行兩個背景服務，一旦其中一個遭到關閉，另一個便會立即重新啟動，提升長時間駐留裝置的能力。
目前來看，RedHook 仍須仰賴使用者自行下載並安裝惡意 APK，因此主要風險仍集中在從第三方網站安裝 App 的 Android 使用者。若僅透過 Google Play 商店下載應用程式，並保持 Google Play Protect 開啟，大多數攻擊仍可有效避免。
至於 iPhone，這類攻擊方式目前無法直接套用，原因在於 iOS 並未提供類似 Wireless ADB 的功能供第三方 App 使用，因此惡意程式無法透過相同方式取得系統層級控制權，不過這並不代表 iPhone 不會遭遇詐騙或其他社交工程攻擊。
Google 也正著手強化防護機制，外界預期，未來 Advanced Protection Mode（進階保護模式） 將進一步限制甚至鎖定開發人員選項，降低惡意程式濫用 Wireless ADB 的風險，但相關功能目前仍尚未正式推出。
RedHook 的威脅並不僅在於又出現一款新的銀行木馬，而是反映 Android 惡意程式正從過去「偷看使用者操作」，逐漸演變為「接管整支手機」。繼 Vultur、Brokewell 等惡意程式之後，RedHook 再次顯示駭客正持續利用無障礙服務與系統除錯功能，不斷提升對 Android 裝置的控制能力，也讓行動裝置資安面臨新的挑戰。
（首圖來源：AI）
科技新報粉絲團
加入好友
訂閱免費電子報
