好的，我已根據您提供的來源文章，整理並改寫成以下繁體中文技術文章。
metadataJson
articleBody 物流與貨運產業近期成為網路攻擊的焦點，一波新的惡意活動正利用偽造的 Google Play 商店頁面，散佈一款代號為 Corp MDM 的 Android 間諜軟體。這項發現來自資安研究機構 Have I Been Squatted，該機構指出，攻擊者建立模仿 CEVA 與 TKW Logistics 等合法物流公司的假應用程式頁面，引誘受害者下載一個被偽裝成系統服務的 Android 安裝包（APK），其套件名稱為「com.corp.mdm」。安全研究員 Ben Folland 將 Corp MDM 描述為一款「緊湊型監控植入工具」，其主要功能是竊取新收到的簡訊內容、轉接來電，並在背景維持一個隱藏的前台服務。
這款惡意軟體的設計相當精簡，與市面上常見的商業化 Android 間諜軟體相比，它缺乏許多典型的間諜功能。研究人員推測，開發者在撰寫程式碼的過程中可能使用了人工智慧（AI）輔助，因為程式內存在一些會干擾其正常運作的錯誤（bug）。此外，這起攻擊疑似是一場針對物流產業的更大規模行動的一環，該行動同時結合了憑證釣魚（Credential Phishing）與 Windows 平台惡意軟體，形成多層次的攻擊鏈。
在散佈手法上，攻擊者架設了偽造的 Google Play 商店頁面，例如 playgoogle.logisticstkwcargo[.]com 與 playgoogle.ceva-app[.]help，這些頁面看起來與正規的應用程式商店無異，但其實是誘餌。兩個惡意 APK 樣本都使用了同一個硬編碼 IP 位址（69.55.61[.]82）作為命令與控制（C2）伺服器。這台伺服器不僅負責指揮受感染的 Android 裝置，同時也用來代管釣魚網頁，以及提供針對物流產業設計的額外 Windows 惡意軟體，顯示這是一個多用途的攻擊基礎設施。
當受害者在手機上「側載」（Sideload）並安裝這個惡意應用程式後，它會向使用者要求簡訊、電話與通知權限。取得這些權限後，Corp MDM 便能攔截所有新進的簡訊、啟用電話轉接功能，並任意顯示通知。為了避免使用者察覺應用程式存在，它還會移除手機桌面上的啟動器圖示，同時確保服務能在背景持續運行。進入下一階段，惡意軟體會向 C2 伺服器註冊裝置的唯一識別碼（Android ID），並開始每 30 秒發送一次心跳訊號，同時持續向伺服器輪詢是否有新的指令。根據研究報告，其通訊端點包括用於註冊裝置的 /api/v1/devices/register、回報狀態的 /api/v1/devices/heartbeat、接收指令的 /api/v1/devices//commands、回傳執行結果的 /api/v1/commands/result，以及專門用來上傳竊取簡訊內容的 /api/v1/sms/report。這些資料在傳輸過程中，包含了簡訊發送者、完整內文與接收時間戳記，且是透過未加密的 HTTP 協定傳送，意味著攻擊者可以輕易攔截或竄改。
攻擊者控制的基礎設施上，還架設了一個受密碼保護的 Corp MDM 管理面板，位於連接埠 3456。這個面板讓操作者能遠端操控所有受感染的裝置，並下達多種指令。支援的指令包括：ping（測試連線）、forward_on（對指定號碼設定無條件來電轉接）、forward_off（取消來電轉接）、sync_sms（回報同步狀態但實際上不收集資料）、self_destroy（自我毀滅，停用所有元件並清除應用程式資料）。此外，管理面板上雖然有 get_location 與 lock_device 這兩個指令按鈕，但研究人員發現 Corp MDM 惡意軟體本身並不支援這些功能，顯示面板功能與實際惡意程式碼之間存在落差。
值得注意的是，Corp MDM 的簡訊竊取功能有其限制。它只能在受害者授予權限之後，攔截「新進」的簡訊，無法回溯竊取手機簡訊收件匣中既有的歷史訊息。儘管如此，研究員 Folland 強調，這種有限的收集路徑已足以曝露高價值的敏感內容。因為在現代數位生活中，簡訊仍然是接收一次性密碼（OTP）、密碼重設連結、帳戶恢復驗證碼、銀行交易通知以及物流配送狀態更新的主要管道。攻擊者只要掌握這些即時簡訊，就能進一步繞過多因素驗證（MFA），入侵受害者的各種帳戶。
目前尚無法確認這起攻擊背後的實際操控者是誰，但 Have I Been Squatted 推測，該活動可能與亞美尼亞或俄羅斯有關。研究人員在管理面板的使用者介面，以及與此更廣泛攻擊活動相關的原始碼中，發現了帶有當地語言特色的痕跡。這並非物流產業第一次遭到鎖定。回顧過往，2025 年 11 月，Proofpoint 曾披露一項攻擊行動，利用遠端監控與管理（RMM）軟體感染卡車運輸與物流公司，目的是竊取貨物與牟取金錢。今年 2 月，研究團隊 Ctrl-Alt-Intel 與 Have I Been Squatted 也揭露了一個名為 Diesel Vortex 的威脅組織，專門鎖定美國與歐洲的貨運及物流實體，包括 DAT Truckstop、TIMOCOM、Teleroute、Penske Logistics、Girteka 等知名業者。此外，一個俄羅斯與亞美尼亞背景的威脅行為者，還創建了名為 Global Profit（亦稱 MC Profit Always）的釣魚即服務（PhaaS）平台，專門針對貨運與物流產業發送詐騙郵件，並在 2025 年 9 月至 2026 年 2 月期間竊取了超過 1,600 組獨特的登入憑證。
研究機構總結指出，這並非單一駭客的孤立行為，而是一個結構化、由金錢驅動的犯罪服務體系，甚至以服務的形式出售給其他操作者。該集團會冒充物流業者日常使用的合法平台，即時攔截使用者的登入資訊與多因素認證碼，進而透過發票重定向與雙重經紀（Double-brokering）手法攔截貨運資訊、竊取個人資料與資金。這一系列攻擊顯示，物流與供應鏈產業已成為網路犯罪集團眼中的高價值目標，企業與從業人員都必須提高警覺，審慎看待任何要求安裝應用程式或輸入帳密的不明請求。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。