[分享]揭露电信诈骗之悄无声息的转走资金

案例链接：我被电信诈骗53万！却无从追回

MD5：953FF8734**4C875F73976F3DC683FAE

包名：com.demo.gfansi.crbc安装名称：

CRBC运行图标：

二、电信诈骗套路诈骗方从黑市购买用户详细个人信息（***号、电话号码、职业、家庭情况等），通过这些信息骗取用户初步信任。制造假文件、**、冒充公职人员欺骗用户让用户相信自己已违法并一步步套路用户安装恶意软件，该恶意软件会上传用户输入的***账号，密码等重要信息，同时拦截用户短信、电话，让用户无法获取转账通知短信。从而悄无声息的转走用户资金。图2-1 电信诈骗套路应用运行界面如下：要求用户输入***号和账户密码等信息。图2-2 应用运行界面三、样本分析：3.1 拦截短信、电话获取用户输入的***号、账户密码等信息并加密发送至服务器.诈骗分子获取用户***账号、密码后便能将用户***里的资金全部转出。图3-1 上传用户输入的账号密码监听用户短信：拦截用户接收的短信，并将短信进行转发，接着删除短信。目的：避免在转账***资金时用户接收到短信通知。图3-2 监听用户短信监听用户电话状态：当用户手机来电或去电时，拦截电话拨号。将用户来电或去电的电话号码与固定电话列表对比，如果匹配上则设置转拨电话。目的如下：

（1）诈骗方可将自己拨打给用户的电话设置为公职电话，让用户相信诈骗方是公职人员。

（2）诈骗方可将用户拨打给公职机关的电话转播为自己电话，使用户无法与公职机关取得联系。

图3-3 监听用户手机状态3.2 窃取隐私通过远程控制窃取用户联系人、短信等隐私信息。目的如下：

（1）可通过贩卖用户隐私数据获利。

（2）可用于诈骗他人。

图3-4 远程控制备份用户联系人信息。服务器地址：http://103.***.210.108:8080/WebMobileD6/phoneajax/index.do。图3-5 备份用户联系人信息备份用户短信信息。服务器地址：http://103.***.210.108:8080/WebMobileD6/phoneajax/index.do。图3-6 备份用户短信信息3.3 传播恶意软件发送带有恶意软件下载链接的短信给指定联系人传播恶意软件。图3-7 发送短信大多数电信诈骗的发生都是因为用户隐私数据的泄露，如果你无意中点击了短信中的某条链接就有可能造成以上诈骗事件的发生。图3-8 恶意软件传播危害四、同源分析通过对该样本包名、应用名、服务器地址等信息进行扩展分析，我们找到了一批同源样本。表4-1 同源样本信息[td]

图标	MD5	安装名	包名
	a2ce9d3671e6369db60d509e79607d9c	CRBC	com.nejitawo.crbcapp
	033ea9e87805d1d55d8afcc13dbcdaf0	CRBC	com.apache56.MobileD1
	3db0fa36b7cd208bc6629114b135bf8c	CRBC Mobile	com.subsplash.thechurchapp.s_XFF535
	48bbc6b0303fb516f7b245c2faffcd50	CRBC Mobile App	io.appery.project115680
	dedc1e416c3e1d2b2e227b488fd62c48	CRBC	com.apache56.MobileD1
	e2bdc6d6adb16bbd5548d6273983b4bf	CRBC	com.CRBC.MobileD1
	67eaff5751b518fd168fdaa79ce6dd01	CRBC Mobile App	io.appery.project115680