SimSmsBox 一句话回答： 短信窃取恶意软件是伪装成正常 App 的手机木马，它索要「读取短信」权限，然后在后台悄悄把你的验证码转发给攻击者。它不骗你、直接偷——所以防线是：别装来路不明的 App、别乱给短信权限，尽量用验证器 App 或通行密钥取代短信验证码。
大多数验证码攻击靠的是骗你——短信钓鱼诱你点链接，OTP 机器人骗你读出码。短信窃取恶意软件不一样：它已经在你手机里，根本不需要你配合，码到手机的同一秒就被偷走了。
一、它是怎么工作的
整个过程通常分三步：
- 安装。 你从非官方商店、破解 App、或钓鱼短信里的链接装了一个看似正常的应用（手电筒、清理工具、假冒的银行或快递 App）。
- 要权限。 它申请「读取短信 / 接收短信」权限。一旦你点了同意，它就能看到所有进来的短信。
- 转发。 每当验证码短信到达，木马在后台把它发到攻击者的服务器或号码——你的通知栏可能什么都不显示。
配合已经泄露的密码，攻击者手里就凑齐了「密码 + 验证码」，足以接管你的账号。
二、和其他验证码攻击有什么不同
| 攻击方式 | 靠什么得手 | 需要你配合吗 |
|---|---|---|
| 短信窃取木马 | 手机上的恶意 App | 只需你当初装了它 |
| 短信钓鱼 | 假链接、假页面 | 需要你点、你输 |
| OTP 机器人 | 冒充客服的电话 | 需要你读出码 |
| SIM 卡交换 | 骗运营商转移号码 | 不需要，但攻击运营商 |
木马的可怕之处在于静默：装好之后不再需要你做任何事，码在到达的瞬间就流走了。
三、危险信号
- 装了某个 App 后，电量或流量异常飙升。
- App 要的权限和它的功能对不上（一个壁纸 App 要读短信？）。
- 你收到了自己没申请的验证码，或朋友说收到你名义发出的怪短信。
- 手机上出现你不记得装过的应用。
四、怎么防
- 只从官方应用商店装 App，避开破解版和第三方渠道。
- 收紧短信权限。 定期检查哪些 App 能读短信，把不该有的收回。
- 别点短信里的链接安装任何东西——这类链接常是短信钓鱼的入口。
- 保持系统更新，打上安全补丁。
- 改用更强的因子。 攻击者偷不到验证器 App 生成的 TOTP，更偷不走绑定设备的通行密钥——因为它们从不以短信形式出现。
五、怀疑中招了怎么办
- 断网（飞行模式），阻止继续外传。
- 卸载可疑 App；必要时用安全模式或恢复出厂。
- 在另一台干净设备上改掉重要密码，尤其是邮箱和银行。
- 检查账号登录记录，踢掉陌生会话。
- 把关键账号的短信验证码换成验证器 App 或硬件密钥。
六、这对你收码时意味着什么
验证码只有在从收到到输入的整条路径都安全时才可靠。就算短信本身传输没被拦，一部装了木马的手机也会在终点把它交出去。养成习惯：验证码只在你主动发起的操作里输入，收到没申请的码就当作账号可能已被盯上的警报。
常见问题
Q：iPhone 也会中短信窃取木马吗？ 风险显著更低。iOS 默认不允许普通 App 读取其他短信，这类攻击主要集中在侧载 App 的安卓设备上。
Q：我从没点过链接，怎么也中招了？ 链接只是入口之一。更多是你主动装了一个看似正常、实则带毒的 App，并授予了短信权限。
Q：验证器 App 能免疫这种攻击吗？ 基本能。TOTP 在本地生成、从不经过短信，所以读取短信的木马拿不到它。这是从短信升级到验证器或通行密钥的一大理由。
小结
短信窃取恶意软件伪装成正常 App、索取短信权限，然后在后台把你的验证码转发给攻击者——全程静默，无需你配合。只从官方商店装 App、严管短信权限、别点短信里的安装链接；把重要账号从短信升级到验证器 App 或通行密钥，让码根本不再以短信形式出现。