反病毒實(shí)驗(yàn)室Doctor Web近期發(fā)文稱，發(fā)現(xiàn)并深入調(diào)查了一個(gè)新型點(diǎn)擊器木馬家族，該系列木馬主要通過(guò) dllpgd.click 服務(wù)器進(jìn)行管理，或者在接收到遠(yuǎn)程主機(jī)的指令后下載并運(yùn)行，目前，該木馬家族已在海外安卓平臺(tái)大規(guī)模蔓延。

根據(jù)Dr.Web的報(bào)告，小米旗下的 GetApps 軟件商店是該木馬的主要分發(fā)渠道之一，多款熱門(mén)手游已遭該木馬感染，且均由一家名為 SHENZHEN RUIREN NETWORK CO., LTD的開(kāi)發(fā)商上傳。

Android.Phantom 木馬程序與這些應(yīng)用捆綁在一起并隨之啟動(dòng)。受影響的游戲包括：
Creation Magic World（下載量超 3.2 萬(wàn)次）
Cute Pet House（下載量超 3.4 萬(wàn)次）
Amazing Unicorn Party（下載量超 1.3 萬(wàn)次）
Sakura Dream Academy（下載量超 4000 次）
Theft Auto Mafia（下載量超 6.1 萬(wàn)次）
Open World Gangsters（下載量超 1.1 萬(wàn)次）

值得注意的是，這些游戲的初始版本并未包含惡意代碼，但在 9 月 28 日至 29 日的更新中，開(kāi)發(fā)者植入了 Android.Phantom.2.origin 木馬，隨后在 10 月 15 日至 16 日的再次更新中，又引入了 Android.Phantom.5 模塊，該模塊作為一個(gè)釋放器（dropper），負(fù)責(zé)從遠(yuǎn)程主機(jī)獲取 Android.Phantom.4.origin 及其所需的 WebRTC 庫(kù)，從而賦予木馬完整的運(yùn)行能力。

該惡意軟件具備精密的技術(shù)架構(gòu)，分為“信號(hào)模式”（signalling）和“幽靈模式”（phantom）。
在幽靈模式下，木馬利用隱藏的 WebView 加載網(wǎng)頁(yè)，從服務(wù)器獲取指令后加載目標(biāo)欺詐網(wǎng)站，并下載包含 TensorFlowJS 機(jī)器學(xué)習(xí)框架的腳本。Android.Phantom.2.origin 會(huì)將網(wǎng)頁(yè)內(nèi)容輸出到虛擬屏幕并截圖，利用 TensorFlowJS 分析截圖并精準(zhǔn)模擬點(diǎn)擊廣告元素。

在信號(hào)模式下，木馬利用 WebRTC 技術(shù)與第三方服務(wù)器建立點(diǎn)對(duì)點(diǎn)連接。此時(shí) hxxps[:]//dllpgd[.]click 充當(dāng)中央服務(wù)器幫助節(jié)點(diǎn)互聯(lián)，并決定運(yùn)行模式。Android.Phantom.2.origin 會(huì)秘密將虛擬屏幕上的網(wǎng)頁(yè)視頻流傳輸給攻擊者，允許其遠(yuǎn)程控制瀏覽器進(jìn)行點(diǎn)擊、滾動(dòng)乃至輸入文本，實(shí)現(xiàn)高度自動(dòng)化的欺詐操作。

除了官方應(yīng)用商店，攻擊者還利用 Spotify、YouTube、Deezer 和 Netflix 等熱門(mén)流媒體服務(wù)的“魔改版”應(yīng)用進(jìn)行廣泛傳播。這些聲稱解鎖了高級(jí)功能（如 Spotify Plus/Pro）的修改版 APK 文件，廣泛存在于 Apkmody、Moddroid 等第三方下載站以及 Telegram 頻道和 Discord 服務(wù)器中。

此外，Moddroid 門(mén)戶網(wǎng)站“編輯精選”欄目中的 20 款應(yīng)用中，竟有 16 款含有 Android.Phantom 木馬。

Dr.Web聲稱，該病毒一旦感染，用戶的設(shè)備將面臨多重嚴(yán)重威脅。Android.Phantom.5.origin 作為間諜軟件組件，會(huì)竊取設(shè)備信息、電話號(hào)碼、位置及應(yīng)用列表回傳給攻擊者。此外，受感染設(shè)備可能被迫參與 DDoS 攻擊，淪為網(wǎng)絡(luò)犯罪的幫兇，同時(shí)后臺(tái)的隱蔽活動(dòng)會(huì)導(dǎo)致電池電量迅速耗盡和移動(dòng)數(shù)據(jù)流量激增。