一款名为 ClayRat 的新式安卓间谍软件，正通过伪装成谷歌相册、TikTok、YouTube 等热点应用及就业开云体育，欺诈潜在受害者。
该坏心软件以俄罗斯用户为挫折指标，挫折渠谈包括 Telegram 频谈和看似正规的坏心网站。它粗略窃取短信、通话记载、见告，还能拍摄相片，以致拨打电话。
迁移安全公司 Zimperium 的坏心软件扣问东谈主员示意，在当年三个月里，他们已记载到 600 多个该软件样本以及 50 个不同的投放要领。这一数据标明，挫折者正积极遴荐行动，扩大挫折限制。
新式安卓间谍软件 ClayRat 挫折行动
ClayRat 挫折行动以该坏心软件的敕令与适度（C2）就业器定名。该行动用尽心贪图的垂纶进口和已注册域名，这些进口和域名与正规就业页面高度相同。
这些网站要么奏凯提供安卓安设包文献（APK），要么将访客重定向至提供该文献的 Telegram 频谈，而受害者对此绝不知情。
为让这些网站显得果真果真，挫折者添加了无理驳斥、虚增了下载量，还贪图了雷同谷歌应用商店的无理用户界面，并附上怎样侧载 APK 文献以及绕过安卓安全劝诫的分步阐明。
在后台加载间谍软件的无理更新开始
Zimperium 指出，部分 ClayRat 坏心软件样本起到投放要领的作用。用户看到的应用界面是无理的谷歌应用商店更新页面，而加密的灵验负载则荫藏在应用的资源文献中。
该坏心软件收受"基于会话"的安设表情在斥地中避开，以此绕过安卓 13 及以上版块的系统末端，并镌汰用户的怀疑。这种基于会话的安设表情镌汰了用户感知到的风险，普及了用户拜访某一网页后，间谍软件见效安设的可能性。
一朝在斥地上激活，该坏心软件会将现时斥地动作跳板，向受害者的相关东谈主列表发送短信，进而应用这一新"宿主"感染更多受害者。
Telegram 传播 ClayRat 植入要领
ClayRat 间谍软件的功能
在受感染斥地上，ClayRat 间谍软件会获取默许短信管制要领权限。这使得它粗略读取通盘收到的和已存储的短信，在其他应用之前驾御短信，还能修改短信数据库。
ClayRat 成为默许的 SMS 管制要领
该间谍软件会与 C2 就业器建造通讯，其最新版块中收受 AES-GCM 加密算法进行通讯加密。之后，它会接受 12 种撑捏的敕令中的一种，具体敕令如下：
·get_apps_list ——向 C2 就业器发送已安设应用列表
·get_calls ——发送通话记载
·get_camera ——拍摄前置录像头相片并发送至就业器
·get_sms_list ——窃取短信
·messsms ——向通盘相关东谈主群发短信
·send_sms/make_call ——从斥地发送短信或拨打电话
·notifications/get_push_notifications ——拿获见告和推送数据
·get_device_info ——采集斥地信息
·get_proxy_data ——获取代理 WebSocket 集聚，附加斥地 ID，并动手化勾通对象（将 HTTP/HTTPS 条约疗养为 WebSocket 条约，同期安排任求履行）
·retransmishion ——向从 C2 就业器接受到的号码重发短信
一朝得回所需权限，该间谍软件会自动获取相关东谈主信息，并通过要领编写短信，向通盘相关东谈主发送，从而收场大限制传播。
目下，Zimperium 已与 Google 分享了完满的 IoC，谷歌 Play Protect 目下能驾御 ClayRat 间谍软件的已知版块和新式变种。但扣问东谈主员强调，该挫折行动限制强大，仅三个月内就记载到了 600 多个相关样本开云体育，因此需要络续捏严慎作风应酬。