新型个人金融资产安全威胁抵御方法的研究

◆于佳华

（国家计算机网络应急技术处理协调中心黑龙江分中心 黑龙江 150001）

近来，一种结合伪基站、钓鱼网站、手机病毒等多种手段，诈骗 盗取网上银行、网络支付等金融交易关键信息，窃取受害者在线金融资产的新型安全威胁不断出现。该攻击瞄准手机支付用户群体，围绕用户在线支付全流程每一个环节进行精准布局，以盗取用户金融资产为直接目的，严重威胁用户金融安全。各有关机构紧密合作并采取有效措施予以打击遏制，成为当前一个紧迫任务。

1 问题现状

该类攻击的一般模式为通过伪基站或违规短信端口投放伪装成运营商、银行、ETC中心等官方号码发送的钓鱼欺诈短信，短信中包含仿冒网址，诱骗受害者点击访问该仿冒钓鱼网站，在钓鱼网站中诱骗受害者填写用户名、密码等个人信息并实施窃取，诱导受害者下载安装木马程序，通过木马程序窃取短信验证码，最终盗取受害者的在线金融资产。该类攻击随着移动互联网的发展普及，呈愈演愈烈之势，据CNCERT报告，2018年共捕获新增金融行业移动互联网仿冒App样本838个，同比增长了近3.5倍，达近年新高[1]。

图1攻击示意图

2 发现及阻断方法

运营商作为用户网络服务的供应商，在此新型的安全威胁中，可以在威胁渠道检测、威胁渠道阻断方面发挥重要作用。同时安全厂商、银行、电子邮件服务商等机构也需要密切配合，实现该新型安全威胁背后黑色产业链的联合打击，从根本上解决这一问题。

从技术层面对伪基站、客户投诉、短信、互联网流量等多个领域同时开展监测，并分别研判出钓鱼短信、钓鱼网站、短信拦截木马，识别出真正的恶意信息，并采用相应阻断手段，对恶意信息实施全方位拦截处置是一个行之有效的方法。

2.1 钓鱼短信

通过对钓鱼短信进行分析，少量关键词即可实现绝大多数钓鱼短信的发现，并且不同的钓鱼短信类型对应的关键词特点也不同。通讯录群发传播病毒类关键词为相册相片、文件资料等；伪基站类关键词为10086积分兑换、银行升级等；特定人群的钓鱼攻击类关键词为车辆违章、校园通、成绩单、ETC失效等；利用社会热点传播类关键词为武汉疫情、脱贫攻坚等。同时，钓鱼短信的短信内容中都会包含一个恶意网址，这也是一个显著的监测特征。

运营商可以通过不断更新关键词进行钓鱼短信持续监测，并采取在短信相关系统中添加策略予以实时拦截和关停违规短信端口等措施，打击钓鱼短信的传播。但对于上文提到的伪基站下发短信，运营商无法实施短信拦截，手机安全厂商可以通过的手机客户端安全产品进行识别告警，或者运营商通过下文提到的对伪基站短信中的恶意网站实施拦截的方式，对伪基站短信进行打击。

图2抵御方法示意图

2.2 钓鱼网站

通过对已捕获钓鱼网站进行分析，发现基本都是仿冒银行、运营商、ETC中心等的官方网站的支付页面，诱导用户填写姓名、身份证号、开户行、银行卡号、取款密码、信用卡有效期、CVV码等敏感信息。并且经监测发现，该类钓鱼网站基本都托管在境外。

通过对疑似网站的是否备案查询、相同IP承载网站性质关联、网站活跃性突变分析、网页关键词筛选等多个因素进行综合判断，可以确定网站性质，识别出真正的钓鱼网站。运营商可以基于近源处置的原则，在网站托管的地区进行封堵，对部署在境外的钓鱼网站，在国际出口实施封堵，进而切断钓鱼网站的访问通道。

3.3 短信拦截木马

目前，常见手机支付应用，为了提高支付过程安全性，最后一步基本采取增加下发短信验证码到用户预留手机，用户填写正确验证码后才能完成支付的方式进行保护。不法分子为解决这盗取金融资产的“最后一公里”问题，在上文提到的钓鱼短信、钓鱼网站中加入木马病毒下载链接，引诱用户下载安装短信拦截木马，该类病毒可以在用户不知情的情况下控制受害者手机的短信收发功能，将收到的短信转发到攻击者的主控手机或者邮箱中，实现银行卡余额及短信验证码的窃取。

运营商可以建设手机病毒监测系统，进而截获短信拦截木马的传播链接及病毒样本，通过病毒分析手段提取出病毒样本的主控手机号码及信息搜集邮箱。通过运营商封堵病毒下载链接可以阻断病毒传播，通过运营商关停主控手机号码，以及通过电子邮件服务商关停信息搜集邮箱可以让已发作的病毒失效。通过银行的异常交易行为分析可以阻断不法分子支付行为。

3 结束语

本文介绍的新型安全威胁，通过用户在线支付全流程每一个环节进行精准布局，窃取用户在线支付环节各类敏感信息，对用户的个人金融资产造成极大危害。通过本文给出的运营商、安全厂商、银行、电子邮件服务商等机构在各个威胁环节予以监测打击的方法，可以对这一新型安全威胁实现有效遏制。