《Forensic Science International: Digital Investigation》：Forensic analysis of remote call service artifacts for detecting voice phishing via samsung call & message continuity (CMC)
编辑推荐：
语音诈骗利用三星通话连续性服务（CMC）通过系统日志分析提取关键证据，研究提出基于日志的取证方法识别远程调用行为，提升案件调查效率。
Minjung Yoo|Seunghyun Park|Seongmin Kim
韩国首尔城北区 Bomun-ro 34da-gil 2 号，成信女子大学融合安全工程系，邮编 02844
摘要
远程控制服务被广泛用于在无法进行物理访问时启用设备访问。最近，犯罪组织开始利用这些服务进行语音钓鱼攻击，通过远程控制设备拨打看似来自合法本地号码的呼叫。在这些服务中，三星的“通话与消息连续性”（Call & Message Continuity，简称 CMC）功能因其可通过三星账户轻松启用而成为最常被滥用的机制之一。CMC 允许用户在多个关联设备之间进行通话和消息传递，使得没有蜂窝网络连接的辅助设备能够将通话处理任务委托给主要设备。虽然这一功能旨在实现无缝的设备间通信，但其被滥用后，移动设备会变成难以检测的隐蔽中继器，比传统的 SIM 卡中继器更难被发现，从而阻碍了及时的调查和责任追究。在这项研究中，我们通过系统日志分析来分析表明 CMC 被激活以及基于 CMC 的远程语音呼叫执行的设备级取证证据。我们进一步识别了关键的证据，并提出了一种证据收集和解释方法，以支持实际取证环境中基于 CMC 的语音钓鱼案件的调查。
引言
最近，远程连接服务被语音钓鱼诈骗者越来越多地利用，以规避依赖于识别电话号码篡改的检测机制。来自国际号码或典型互联网号码（例如 VoIP 或虚拟电话号码）的呼叫通常会被接收者忽略，因为它们常被视为垃圾邮件或语音邮件呼叫。为了减少怀疑，语音钓鱼组织使用基于互联网的呼叫服务，并伪装呼叫来源号码，使其看起来像合法的手机号码（Park 等人，2022 年）。传统的语音钓鱼方案利用出站号码修改设备（如 SIM 卡）将国际电话号码转换为本地手机号码。因此，针对 SIM 卡欺诈的对策一直是减轻蜂窝网络中语音钓鱼攻击的主要焦点（Oh 等人，2023 年；Murynets 等人，2014 年；Kouam 等人，2024 年）。
与此同时，语音钓鱼攻击越来越多地转向利用基于账户的远程呼叫服务来规避针对传统中继设备的对策。其中一个服务是三星的“通话与消息连续性”（Call & Message Continuity，简称 CMC），这是一种基于账户的功能，允许用户从与智能手机关联的设备发起通话和发送消息，即使他们无法直接访问智能手机本身。虽然这一功能是为了方便用户，但在实践中却被犯罪组织滥用。例如，在韩国，语音钓鱼导致了大量的财务损失（韩国检察机关，2024 年），犯罪组织利用了中继设备和 CMC 功能来操纵呼叫者身份信息（《The KyungHyang 报纸》，2024 年）。在一个记录在案的案例中，一个犯罪组织通过 CMC 将海外设备与韩国三星智能手机连接起来，诈骗受害者约 1.8 亿美元（《The Korea Economic Daily》，2022 年）。这一趋势凸显了需要强有力的数字证据来有效应对此类犯罪。
尽管基于 CMC 的语音钓鱼越来越普遍且造成的财务影响越来越大，但先前的研究在支持取证调查方面的能力仍然有限。现有的关于 CMC 远程呼叫的研究主要依赖于数据包级分析，通过数据包传输速率和相关值的变化来区分常规呼叫和 CMC 远程呼叫（Oh 等人，2022 年）。然而，只有当网络数据包被实时收集时才能识别出这些异常，这限制了它们在事后取证分析和语音钓鱼调查中获取数字证据的应用。从调查的角度来看，这一限制阻碍了及时遏制损害和系统化的证据收集。因此，需要对 CMC 的使用进行全面检查，以便可靠地识别基于 CMC 的远程通信，并有效积累具有取证意义的设备级证据，而不仅仅是通过网络级观察所能获得的证据。
在本文中，我们提出了一种从系统日志中收集设备级证据的方法，以确定 CMC 功能的激活和远程呼叫的发生。为此，我们构建了一个真实的攻击场景，其中恶意行为者使用真实设备模拟受害者。我们在两个阶段收集了来自受害者设备、攻击者移动设备和 CMC 关联设备的各种系统日志：CMC 连接激活和远程呼叫发起。基于这些日志，我们得出了反映 CMC 参与呼叫发起和控制的取证证据，这些证据与基于 CMC 的语音钓鱼调查相关。通过这个案例研究，我们证明了所识别的证据可以作为基于 CMC 的语音钓鱼犯罪的实际调查线索。
章节片段
语音钓鱼检测
多项研究探讨了用于语音钓鱼的非法中继器的检测，主要集中在传统的攻击载体 SIM 卡上（Airn，2018 年；Kouam 等人，2023 年；Kashir 和 Bashir，2019 年）。Kouam 等人（2021 年）分析了通信技术的进步（包括 LTE 和 5G 网络）如何影响犯罪活动，因为 SIM 卡技术也在不断发展。为了识别基于中继器的欺诈行为，他们利用了通话详细记录（CDR），这些记录捕获了详细的通话元数据
CMC 证据分析
本节介绍了用于检测基于 CMC 的语音钓鱼的证据信息，重点关注可以作为调查线索的关键特征。实际上，语音钓鱼活动经常结合使用海外呼叫环境和呼叫者 ID 操作。因此，我们专注于基于 CMC 的远程语音呼叫作为分析语音钓鱼调查中相关证据的代表性且实际相关的用例。
关键证据及其调查意义总结
本节总结了用于检测基于 CMC 的远程语音呼叫的关键设备级日志证据，并讨论了它们在取证调查中的实际意义。为了解决在正常使用 CMC 时也可能出现个别日志条目的问题，我们首先总结了一组必须按顺序观察的最小指标，以可靠地识别基于 CMC 的远程语音呼叫。
表 2 总结了确定 CMC 顺序流程所需的最小日志证据
日志证据的实用性完整性
本研究中识别的取证证据的完整性得到了攻击场景固有的物理访问限制和多个日志来源的全面关联的证实。尽管 Android 系统日志的易变性和基于权限的架构意味着无法完全排除篡改的可能性，但在实际的基于 CMC 的语音钓鱼场景中，广泛操纵证据的可能性仍然较低。具体来说，因为 PD（可能是指某种设备或组件）必须正常运行结论
设备间集成技术通过允许在不同设备上统一控制操作，增强了操作的连续性和用户便利性。然而，这些技术正越来越多地被用于恶意目的，一种新的钓鱼形式出现了，即利用 Android 设备提供的远程控制服务“通话与消息连续性”（Call & Message Continuity，简称 CMC）。鉴于新型犯罪方案的出现，理解其运作方式至关重要
CRediT 作者贡献声明
Minjung Yoo：撰写 – 审稿与编辑、撰写 – 原稿、方法论、调查、形式分析、概念化。Seunghyun Park：撰写 – 审稿与编辑、撰写 – 原稿、方法论、概念化。Seongmin Kim：撰写 – 审稿与编辑、监督、项目管理、资金获取。
利益冲突声明
作者声明他们没有已知的可能会影响本文报告工作的财务利益或个人关系。
致谢
本项工作得到了 成信女子大学 的研究支持，项目编号为 H20240063。
