刚刚体验了把了android中木马支付宝被盗

引用:

原帖由 @VEVAN  于 2015-9-22 13:15 发表
http://drops.wooyun.org/papers/9024
这里对源码的分析和自建服务器模拟恶意行为的攻击实例，自己看吧
懒得看的就看下总结好了：
Response方法中根据服务器下发的不同数据，解析成不同的命令执行，根据我们分析，此样本大致支持4种远程命令，分别是：设置sleep时长、窗口消息、url scheme、appStore窗口。
通过4种远程命令的单独或组合使用可以产生多种攻击方式：比如下载安装企业证书的App；弹AppStore的应用进行应用推广；弹钓鱼页面进一步窃取用户信息；如果用户手机中存在某url scheme漏洞，还可以进行url scheme攻击等。

虽然文章里只模拟了上面四种，但通过url scheme可以做的事情太多了。
对了，unity的开发包也中刀了，貌似同一个人（组织）干的，这回可是跨平台了，大家都小心吧。