短信验证码的验证原理（利用Android系统的短信验证服务漏洞）

最近的网络安全研究，在对SMS电话验证账户服务（PVA）的分析中发现，一个建立在僵尸网络上的恶意平台，该平台涉及数千部受感染的 Android 手机，再次凸显了依赖 SMS 进行帐户验证的缺陷。

根据网络安全行业门户「极牛网」GEEKNB.COM的梳理，SMS PVA 服务为用户提供可用于注册其他在线服务和平台的替代手机号码，并帮助绕过基于 SMS 的身份验证和单点登录 (SSO) 机制来验证新帐户。

网络安全研究人员表示，黑客可以使用此类服务​批量注册一次性帐户或创建电话验证帐户以进行欺诈和其他犯罪活动。

除了声称拥有跨越 100 多个国家/地区的电话号码外，地下 VPA 服务还通过 API 宣传“批量虚拟电话号码”以供在各种平台上使用。

Guerrilla 恶意软件就其本身而言，旨在解析在受影响的 Android 手机上接收到的 SMS 消息，根据从远程服务器接收到的特定搜索模式检查它们，然后将与这些表达式匹配的消息泄露回去到服务器。

安全研究人员称，恶意软件仍然低调，只收集与请求的应用程序匹配的文本消息，以便它可以秘密地长时间继续这种活动。如果 SMS PVA 服务允许其客户访问受感染手机上的所有消息，那么机主很快就会注意到这个问题。

更重要的是，这些服务只出售账户注册时所需的一次性确认码，僵尸网络运营方在未经所有者知情和同意的情况下，使用大量受感染设备接收、检查和报告短信验证码。

换句话说，僵尸网络便于访问不同国家的数千个手机号码，有效地使行为者能够大量注册新帐户并将其用于各种诈骗，甚至参与协调的不真实用户行为。