网络犯罪分子使用渐进式 Web 应用程序 （PWA） 来冒充银行应用程序并窃取移动用户的凭据。ESET 研究人员详细介绍了针对使用渐进式 Web 应用程序 （PWA） 的移动用户的网络钓鱼活动。威胁行为者使用的虚假应用程序与 iOS 和 Android 上的真实银行应用程序几乎没有区别。该技术于 2023 年 7 月在波兰首次披露，随后在捷克以及匈牙利和格鲁吉亚等其他国家观察到。该活动使用渐进式 Web 应用程序来冒充银行应用程序并窃取 Android 和 iOS 用户的凭据。渐进式 Web 应用程序 （PWA） 是使用 Web 平台技术构建的应用程序，但提供类似于特定于平台的应用程序的用户体验。该技术允许从第三方网站安装网络钓鱼应用程序，而无需用户启用第三方应用程序安装。对于 iOS 用户来说，这破坏了 “walled garden” 方法的通常安全假设。在 Android 上，它可能导致看似来自 Google Play 商店的 APK 的静默安装，从而进一步欺骗用户。针对 iOS 的网络钓鱼网站会指示受害者将渐进式 Web 应用程序 （PWA） 添加到他们的主屏幕，而在 Android 上，PWA 是在确认浏览器中的自定义弹出窗口后安装的。该技术于 2023 年 7 月在波兰首次披露，随后由 ESET 研究人员在捷克观察到，其他病例针对匈牙利和格鲁吉亚的银行。“阴险地，安装 PWA/WebAPK 应用程序并不会警告受害者安装第三方应用程序。在 Android 上，这些网络钓鱼 WebAPK 甚至似乎是从 Google Play 商店安装的。“ESET 发布的报告写道。“观察到的大多数应用程序都针对捷克银行的客户，但我们也观察到一个针对匈牙利银行的网络钓鱼应用程序，另一个针对格鲁吉亚银行的网络钓鱼应用程序。”对这些攻击中使用的 C2 服务器和后端基础设施的分析表明，两个不同的威胁行为者正在运营这些活动。ESET 发现的网络钓鱼活动通过三种不同的 URL 交付方式针对移动用户：自动语音通话、SMS 消息和社交媒体恶意广告。自动呼叫会警告用户过时的银行应用程序，并在用户按照提示发送后通过短信发送网络钓鱼 URL。SMS 活动不分青红皂白地将网络钓鱼链接发送到捷克电话号码。社交媒体恶意广告涉及 Instagram 和 Facebook 等平台上的广告，针对特定人群发出号召性用语。点击这些 URL 后，受害者被重定向到模仿官方应用商店的网络钓鱼页面，例如 Google Play 或 Apple Store。攻击者试图诱骗受害者安装其银行应用程序的虚假“新版本”。根据活动的不同，单击安装/更新按钮会直接在受害者的手机上触发恶意应用程序的安装。对于 Android 用户，这可以是 WebAPK，而对于 iOS 和 Android 用户，它可能是渐进式 Web 应用程序 （PWA）。安装过程不会触发有关未知应用程序的浏览器警告，从而利用 Chrome 的 WebAPK 技术。iOS 用户会看到一个弹出窗口，模拟本机提示，将网络钓鱼 PWA 添加到其主屏幕，没有任何警告。安装应用程序后，受害者被要求输入他们的银行凭证，然后将这些凭证发送到 C2 服务器。专家注意到，这些活动使用了两个不同的 C2 基础设施，这表明两个 dinstict 组织正在针对捷克和其他银行开展 PWA/WebAPK 网络钓鱼活动。一个组使用 Telegram 机器人通过官方 API 将输入的信息记录到 Telegram 群聊中，而另一个组则使用带有管理面板的传统 C2 服务器，该面板与 NGate Android 恶意软件活动相关联。“我们发现了一种新的网络钓鱼方法，将成熟的社会工程方法与 PWA 应用程序的跨平台技术相结合。还发现了针对 Android 用户的案例，特别是通过目标应用的 Google Play 商店页面的山寨页面并使用 WebAPK 技术。大多数已知案例都在捷克境内，只有两个网络钓鱼应用程序出现在该地区之外（匈牙利和格鲁吉亚）。“ESET 发布的报告总结道。“我们预计会创建和分发更多的山寨应用程序，因为安装后很难将合法应用程序与网络钓鱼应用程序区分开来。”
