打著“免費清理殭屍粉”的口號的釣魚欺詐套路，早已屢見不鮮，沒想到最近老套路又有了新玩法，近期，360安全大腦發現一名為“微信官方清理殭屍粉”的釣魚軟體再度活躍起來，導致大批不明真相網友上當受騙。

經360安全大腦分析發現，該釣魚軟體以“微信官方清理殭屍粉”為噱頭，引誘使用者授權登入網頁版/客戶端微信，進而透過惡意利用、盜號等手段，實施釣魚欺詐，不幸中招使用者微信，出現了自動新增好友、群發廣告、自動向好友傳送借錢訊息等多種情況。 360安全大腦建議謹慎識別不明來源資訊，可下載安裝360手機衛士保護個人隱私及資料安全。

釣魚迷惑行為大賞 
“官方清理殭屍粉”步步設陷

實際上，利用“清理微信殭屍粉”實施釣魚騙局的這一手法不算罕見。但在這一釣魚軟體中，360安全大腦發現釣魚軟體作者新增了大量的迷惑資訊干擾使用者判斷。

比如，釣魚軟體作者新增了當使用者在下拉網頁時提示資訊為“此網頁由 mp.weixin.qq.com 提供”的極具迷惑性的提示，並將自己偽裝成“官方清粉團隊”，甚至還網頁中新增了投訴按鈕。當使用者點選投訴按鈕後，便提示“微信官方團隊已受理投訴”的迷惑資訊進一步以假亂真，不明覺厲的使用者便會為誤以為真。

更讓使用者深信不疑的是，釣魚軟體作者還在頁面上虛假標註了 “360網站安全檢測，官方認證、可放心訪問”字樣…

360安全大腦對其程式碼進行分析後，發現其釣魚欺詐流程如下：

第一步：撒下誘餌

首先，釣魚軟體作者會透過向使用者推送清理殭屍粉的推廣海報等不同方式傳播釣魚軟體，在使用者在識別海報二維碼之後會進入一個偽裝成官方清粉團隊的頁面。為了讓使用者更容易操作上當，釣魚軟體作者還製作了影片教程，教使用者一步步操作；

當使用者按照影片教程指導，點選進入檢測地址的按鈕後，會首先請求hxxp://vwl5djcoks72[.]cn/api/front/qrloginurl 獲取微信登入二維碼介面地址：hxxp://47.113.201[.]90:3000/mm/getloginqrcode；

第二步：精心偽裝

此時頁面上會顯示“點選開始檢測生成二維碼，掃碼登入即可檢測”的提示。為了進一步偽裝，釣魚軟體作者新增偽裝“此網頁由 mp.weixin.qq.com提供”的提示，當使用者拖住頁面下拉時將會看到此資訊，引導使用者誤認為這是微信官方提供的服務；

一旦使用者受騙掃碼了檢測二維碼，釣魚軟體作者就將根據獲取到的介面地址加上地區等引數請求返回微信登入二維碼給使用者確認授權。

在這裡，為了精準獲取對應的區域資訊，作者還使用了高德的IP定位API介面來獲取使用者地理位置，如：hxxp://47.113.201[.]90:3000/mm/getloginqrcode?u=3&op=false&pro=北京直轄市&city=北京市&img=true

作者使用到的高德API介面的Key為：6145fa3d371ec84a6a46e7eae849bcd2

hxxp://restapi.amap[.]com/v3/ip?key=6145fa3d371ec84a6a46e7eae849bcd2

第三步：魚兒上鉤

此時如果使用者使用手機拍照並掃描了這個二維碼，就會出現如下圖所示的確認登入確認介面，一旦使用者點選了這裡的確認登入，微信就將會在釣魚作者控制的網頁端或電腦端登入，等同於把個人微信的控制權和使用權拱手相讓。

教科書級的“騷操作”
令人猝不及防

在探究該釣魚軟體時，360安全大腦發現其作者為了防止“魚兒脫鉤”，還在更多細枝末節上做了精心設計，可謂是對使用者的心理拿捏的十分巧妙。

首先，為防止使用者自身手機端微信登入狀態提示，意識到自身微信存在其它裝置登入而引起警覺，釣魚軟體作者特意新增了讓使用者等待1分鐘的提示。得以讓使用者暫時打消疑慮，保證釣魚軟體作者至少可以控制使用者微信1分鐘以上。

而在這1分鐘時間內，釣魚軟體作者可以透過自動化程式完成包括抓取使用者所有的微信好友資訊、自動給好友群發廣告資訊、新增一些營銷廣告好友以及關注一些營銷廣告的公眾號，甚至向使用者的好友傳送借錢資訊等大量惡意操作。

其次，通常情況下，如果使用者在微信上遭遇到欺詐資訊，微信官方通常建議使用者在微信安全中心進行舉報投訴。在該釣魚軟體中，作者為了規避舉報投訴，甚至還偽造了微信安全中心介面，讓使用者投訴也做了無用功。

更值得注意的是，該釣魚軟體在獲取不慎中招的使用者微信登入許可權後，還會同時將包含釣魚軟體的二維碼海報傳送給使用者全部好友，且不會留下傳送記錄，最終形成病毒式傳播。

不怕城市套路深
360安全大腦陪你見招拆招

在對其程式碼進行分析時，360安全大腦對惡意釣魚軟體作者所使用的IP進行了反查，反查發現其註冊了近200個用於此類釣魚的域名，其中部分域名如下：

對此，360安全大腦提醒廣大使用者：

1、        建議下載使用360手機衛士進行安全防護，如遇可疑二維碼，可用360手機衛士的二維碼安全檢測功能進行安全性檢測。

2、        提升安全防範意識，注意保護個人資訊保安；

3、        不明來源的連結、二維碼謹慎點選，不建議掃描識別非官方二維碼進行登入操作；

IOC資訊

URLS:

hxxp://taehv52p3347[.]cn/9igqbviccdx/tutorial.html

hxxp://47.113.192[.]129:3000/mm/getloginqrcode hxxp://47.114.35[.]19:3000/mm/getloginqrcode

hxxp://vwl5djcoks72[.]cn/api/front/qrloginurl

使用的高德API介面KEY為：

6145fa3d371ec84a6a46e7eae849bcd2