82家金融机构被盯上，“RedWing”把安卓银行欺诈做成Telegram租赁服务

“它看起来像‘Oblivion’的一个新变种。” 移动安全平台Zimperium旗下的zLabs团队上周曝光了一款名为RedWing的安卓恶意软件，其运作方式让银行欺诈的门槛降到了令人咋舌的地步：任何人只要付钱，就能在Telegram上租用一套现成的欺诈工具，完全不需要自己写一行代码。一个内置的机器人会根据买家需求，实时生成定制化的恶意应用，而它的目标清单里已经出现了至少82家金融机构的名字，且随时可以更换。更值得警惕的是，这套工具生成的滴管和载荷，目前能成功绕过大量主流安全软件的检测。

RedWing的商业模式清晰得像个正经SaaS产品。它在Telegram上明码标价，按月订阅，还附赠推荐折扣、操作指南和教学视频。任何人都可以通过一个Telegram机器人提交定制要求，机器人就会自动打包生成一个全新的恶意应用。这种“恶意软件即服务”（MaaS）的模式，意味着那些不具备任何编程能力的低技术罪犯，如今也能发动精密的多步骤攻击：从接管一部手机开始，到偷取银行登录凭证，再到拦截保护账户的一次性验证码，整个链条被封装成一个开箱即用的套餐。

整套攻击的起点是一则精心伪装的钓鱼链接。当受害者点击链接后，会看到一个仿冒的应用商店页面——它可以动态模仿Google Play、三星Galaxy Store或华为AppGallery的界面，甚至可以生成完全自定义的下载页面，上面伪造了评分、评论和下载次数。这一切只是为了在一个关键心理时刻说服用户：你正在安装的是一个官方应用。受害者因此主动从非官方渠道下载App，并逐一批准手机权限，丝毫未察觉危险。

安装后的App并没有立即展现出威胁，而是在一个看似无害的网页背景下，逐屏弹出权限申请卡片。这些请求被包装成例行公事：建议关闭电池优化、要求将本应用设为默认短信处理器、请求开启通知权限。而当用户点击“确定”时，一个最具破坏性的请求出现了——要求开启安卓的“无障碍服务”。在官方叙述中，这项服务是为了帮助残障人士使用手机，但一旦被恶意软件获取，就等于交出了对屏幕内容的读取权和对手机的直接操控权。RedWing恰恰是利用了这一点，把手机变成了一个透明终端。

获得无障碍服务权限后，RedWing对手机的控制力迅速膨胀，其能力列表几乎覆盖了所有你能想到的银行欺诈手法。下面我们把它的核心攻击模式拆解为五把“刀”，每一把都精确瞄准用户的账户安全。

第一把刀：覆盖攻击。RedWing可以在真实的银行应用或加密货币钱包界面上弹出一个伪造的登录窗口。这个窗口与正版界面外观一致，用户输入的账号、密码直接发送到攻击者手中。这种“覆盖层”技术并不新鲜，但RedWing将其配置成了可远程更换的目标列表——攻击者不需要重新发布新应用，只需在控制面板上修改目标应用名单，伪装窗口就能立即出现在新目标之上。

第二把刀：短信与屏幕数据窃取。应用在后台读取所有收到的短信，从中捕获银行发送的一次性验证码。同时，通过无障碍服务的屏幕读取能力，它可以像人眼一样“看见”屏幕上出现的一切：信用卡号、PIN码、转账金额，甚至短暂弹出的通知消息。一个典型的场景是，用户明明看到验证码刚发送到手机上，但自己还没输入，转账已经完成了。这是因为RedWing在用户看不到的瞬间复制了验证码并填入攻击者的交易页面。

第三把刀：静默呼叫转移。这是其中最隐蔽也最具有破坏性的功能。RedWing会在后台执行一串隐藏的运营商代码——*21*攻击者号码#，将受害者手机的所有来电无条件转接到攻击者控制的号码上。这意味着银行的防欺诈电话核实、基于电话的第二因素认证全部失效。受害者根本不知道自己的电话已经成了“空号”，而攻击者可以仿冒身份接听一切核实来电。

第四把刀：实时屏幕流与键盘记录。操作员可以实时观看并控制受害者的手机屏幕，就像一个偷偷安装的远程桌面工具。配合键盘记录器，他们能捕获用户输入的每一项操作。这已经不是被动偷数据，而是一种主动操控：攻击者可以直接在受害者手机上打开银行应用、发起转账，然后静候覆盖窗口弹出，获取确认密码。

第五把刀：设备外设滥用与群控。RedWing可以随时开启摄像头和麦克风，读取设备内的文件，窃取通讯录和通话记录，并持续追踪位置信息。更惊人的是，它可以将多台受感染手机组成一个“僵尸网络”，向指定网站发动流量攻击，造成拒绝服务。这意味着购买服务的罪犯不仅能偷钱，还能用这些手机做其他非法勾当，一鸡多吃。

RedWing的目标选择机制呈现出一种“定制即编译”的特点。在构建App时，买家需要指定通过无障碍服务监视的应用名单，这些目标会被直接编译进生成的APK文件中。也就是说，不同的买家会得到不同“靶向目标”的应用版本，不存在一个通吃的安装包。而覆盖攻击的目标则可以后期通过控制面板灵活调整，无需重新打包发布。这一设计既增加了检测难度，又给了攻击者极高的机动性。

Zimperium目前统计到的受攻击机构有82家，横跨多个行业，但集中指向俄罗斯的金融企业。在一次攻击样本中，研究人员发现了一个模仿俄罗斯官方应用商店RuStore的伪造页面，并且整套运营机制、说明文档和销售话术都透露出浓厚的俄语市场痕迹。不过，这并不意味着威胁被局限在单一地区。因为目标清单是可以随时替换的，控制面板的灵活性意味着，只要背后的运营者愿意，RedWing随时可以调转枪口，瞄准任何国家的任何银行应用。

从安全研究的角度看，RedWing的出现再次证明了一个越来越扎心的现实：移动恶意软件的工业化已经到了“一键代发”的程度。不再需要技术积淀，不需要隐秘渠道，只要有一个Telegram账号和一笔订阅费，就能拿到一个功能齐全的银行欺诈系统。而对于用户而言，那些“从非官方渠道下载应用”的简单警告变得越来越无力，因为攻击者已经学会了如何把整套戏码做得和官方一模一样。唯一可靠的防线，或许只剩下对每一个权限请求保持怀疑，以及永远不要凭一个“像真的”来判定真假。