俄羅斯安全廠商Doctor Web近日發現 Android 平台新型木馬 Android.DDoS.1.origin。安裝後偽裝成 Google Play 圖示，啟動即連線 C&C 伺服器上傳電話號碼，等待駭客透過簡訊下達指令：發動分散式阻斷服務（DDoS）攻擊指定目標，或控制手機發送垃圾簡訊。少量感染威脅有限，若形成大規模僵屍網路，癱瘓特定網站易如反掌。代碼經重度混淆，顯示作者意圖隱藏真實功能，幸尚未大規模擴散。

木馬運作流程詳細解析

偽裝潛入：冒充官方應用商店圖示

安裝後建立與 Google Play 高度相似的啟動圖示，利用用戶辨識盲區誘導點擊執行，極難以肉眼分辨真偽。

建立連線：啟動即連接命令控制伺服器

程式啟動後立即嘗試連線至硬編碼的 C&C 伺服器。連線成功後，上傳受害者電話號碼作為唯一識別碼，進入等待指令狀態。

雙核心功能：DDoS攻擊代理＋簡訊發送機器

• DDoS攻擊：接收目標位址與連接埠，控制受感染裝置發送大量封包，耗盡目標頻寬/資源
• 簡訊控制：指定接收號碼與內容，批量發送垃圾簡訊、釣魚連結或惡意程式下載連結

規模效應：從單點騷擾到戰略級武器

單台裝置攻擊力微薄，但若感染數萬台裝置形成僵屍網路，協同攻擊可輕易癱瘓中小型網站、甚至影響關鍵基礎設施。行動裝置數量龐大、長期在線、頻寬不斷升級，成駭客組建僵屍網路的優質資源。

防範與應對建議

1. 僅從官方商店下載：Google Play 雖非絕對安全，但經過多層審核，風險遠低於第三方市場
2. 啟用 Google Play Protect：系統級掃描服務，安裝前/定期掃描裝置應用
3. 檢查應用權限：簡單工具類應用索取「發送簡訊」、「網路存取」、「裝置管理員」等高風險權限時高度警覺
4. 安裝行動防毒軟體：提供行為監控、惡意網址攔截、隱私審計等進階防護
5. 系統與應用保持最新：修補已知漏洞，切斷提權與持久化路徑
6. 企業部署 MDM/EMM：管控員工裝置應用白名單、遠端抹除、合規性稽核

技術啟示：行動威脅正向「商業化、模組化、隱蔽化」演進

代碼混淆、模組化設計（核心模組＋功能外掛）、利用合法服務（簡訊）作為 C&C 通道，顯示行動惡意軟體開發已具備成熟軟體工程特徵。防禦端需從「特徵碼匹配」轉向「行為分析、威脅情報共享、零信任存取控制」的體系化對抗。