由 dawei 近年来，尤其在新冠疫情的影响下，人们对智能手机的依赖可谓与日俱增，应用内付费也日渐成为使用手机的新常态。然而，谁都不想收到超乎预期的账单，尤其是当我们不知道额外费用是如何产生的时候。设想一下，如果有人在您不知情或未经您同意的情况下为您注册了高资费电话服务，您会有何感受。除了“帐单休克”之外，如何追回损失则更让人头疼，毕竟向服务提供商证明您从未打算使用这些服务几乎毫无可能?
这种骗局被称为国际收入分成欺诈 (IRSF)，牟利可观，每年能够为欺诈分子创造大约 40 到 60 亿美元的收入。 Check Point Research 最近发现了一个新的 IRSF 攻击活动，该活动通过一种隐匿的新型移动恶意软件变体，暗地为用户注册高资费服务。
这个名为 WAPDropper 的新型恶意软件能够将其他恶意软件下载到受感染设备上并执行这些恶意软件。这种多功能‘droper’会悄悄安装到用户手机上，然后会下载其他恶意软件，这是 2020 年最常见的移动感染类型：根据我们的网络攻击趋势：2020 年中期报告，在 1 月至 7 月期间，这些‘dropper’木马出现在了近一半的移动恶意软件攻击中，在全球范围内总共造成了数亿例感染。
WAPDropper 包含两个不同的模块：dropper 模块，该模块负责下载第二阶段恶意软件;以及 premium dialer 模块，该模块为受害者订阅由合法来源提供的高资费服务。在这里，合法来源多是指位于东南亚国家的电信服务提供商。
在这种及类似骗局中，黑客和高资费服务所有者相互勾结，甚至可能是同一群人。这就是一场数字游戏：使用高资费服务拨打的电话越多，这些服务背后的不法分子获得的收入就越多。在这场骗局中，除不幸的受害者之外，其他人均为受益者。
感染链
感染始于用户从非官方应用商店将受感染的应用下载到手机上。用户安装受感染的应用后，WAPDropper 就会联系其命令和控制 (C&C) 服务器，然后下载 premium dialer 模块，该模块会打开一个很小的 Web 视图屏幕，并联系合法电信公司提供的高资费服务。
一旦 WAPDropper 成功加载了宣传高资费服务的电信公司的登录页面，它就会尝试为用户订阅这些服务。在某些情况下，需要执行 CAPTCHA 步骤才能完成订阅。WAPDropper 可通过使用“ Super Eagle”的服务通过此测试。