趨勢科技 TrendMicro | 資安趨勢部落格

一個假外掛和三個零時差漏洞鎖定WordPress

2017 年 10 月 06 日2017 年 10 月 06 日趨勢科技 TrendMicro

假外掛程式會在每次管理員啟用時通知攻擊者

熱門的部落格平台WordPress最近出現後門和假Wordpress外掛程式，該後門程式偽裝成一個超過100,000次的安裝的防垃圾訊息工具:WP-SpamShield Anti-Spam;冒牌外掛則夾帶三個零時差漏洞。

標記為X-WP-SPAM-SHIELD-PRO的後門程式據報會停用其他安全相關工具、竊取資料並加入隱藏的管理員帳號。安全研究人員發現假外掛程式有看似正常的結構和檔案名稱，但它們其實都是假的。此外，後門程式可以讓攻擊者上傳任何東西到網站上。

假外掛程式會在每次管理員啟用時通知攻擊者。外掛程式中有一個檔案名為“class-social-facebook.php”，看起來似乎是用來封鎖可能的Facebook垃圾訊息。但進事實它會停用啟用中外掛,導致網站無法正常使用。另外兩個名為“class-term-metabox-formatter.php”和“class-admin-user-profile.php”則被攻擊者用來收集資料。

還有一個名為“plugin-header.php”的檔案則會新增一個管理員帳號，這可以讓攻擊者刪除漏洞攻擊檔案，同時還會顯示目標攻擊網站的使用者名稱、密碼和電子郵件。

繼續閱讀

Yahoo 認了,不只 10 億! 2013 年 30 億用戶帳號無一倖免,全數被駭

2017 年 10 月 06 日2017 年 10 月 06 日趨勢科技 TrendMicro

Yahoo 雅虎坦承2013年發生的資料外洩事件,並非先前所披露的10億筆帳號受駭,而是30億用戶帳號都受駭,這個新數字成為史上最大帳號被駭事件。Yahoo已經發送通知給這些受影響的使用者。

一項調查顯示在2013年Yahoo遭受入侵時的所有帳號都受到影響。被竊的帳號資料可能包括了姓名、電子郵件地址、電話號碼、出生日期、雜湊化的密碼（使用MD5），及某些案例可能包含加密或未加密的安全問題和答案。

與Yahoo之前關於資料外洩的聲明相同，這項調查認為被竊的資料不包括明文密碼、付款卡片資料或銀行帳戶資料。不過專家懷疑以上這些資料的安全性，他們認為這些只用過時和易於破解的加密技術保護。

Verizon資訊安全長 – Chandra McMahon在披露受影響帳號數量增加後向使用者保證“Verizon致力於最高標準的負責任態度和透明化，我們會主動確保使用者和網路在不斷變化網路威脅下的安全性”。

兩招減少損害 繼續閱讀

行動裝置應用程式安全-六個開發人員須知

2017 年 10 月 05 日2017 年 09 月 18 日趨勢科技 TrendMicro

根據報導，2016 年有 69% 的企業部門使用兩至五種行動裝置應用程式，前一年增加 66%。

對企業而言，行動平台確實已經無所不在。它和許多新興的平台一樣，將會創造龐大的機會，尤其是以企業為目標的開發人員，

但這將對資料處理方式帶來何種影響？

[請參閱：行動裝置應用程式如何成為下一波網路犯罪的邊境]

根據報導，光是 2017 年 6 月，就有超過 1,000 個 Android 及 iOS 企業應用程式在應用程式與後端系統之間有不安全的通訊，暴露的資料量大約有 43 TB，至少有 39 個受影響的應用程式洩漏了 2.8 億筆個人身分資訊 (PII)。2016 年的一項研究發現，醫療保健及金融相關的行動裝置應用程式中，有 90% 含有重大的安全漏洞。

這些資訊呼應了「開放網路軟體安全計畫」(Open Web Application Security Project，OWASP) 最新版的常見行動裝置風險列表，這些風險包括多餘的功能、不安全的資料儲存方式及網路，有些應用程式幾乎完全沒有驗證及加密機制，無法阻止駭客進行逆向工程，重新封裝、欺騙或修改應用程式。

舉例來說，這些應用程式秘密允許存取裝置功能 (例如相機或錄音程式) 及各種個人身分資訊 (例如相片、聯絡人、簡訊、行事暦、位置及瀏覽記錄)。這些應用程式如果落入網路犯罪者的手中，顯然會帶來嚴重的後果。

無論是企業，或是一般使用者,隱私也是行動裝置應用程式重要的議題，行動裝置應用程式必須徹底檢查安全性，以免資料遭到濫用及感染惡意程式。最近發生在 Uber、Brightest Flashlight、Path、Kim Kardashian: Hollywood 行動裝置應用程式，以及小米的智慧型手機等事件，都是最佳的案例。

[請參閱：2016 年行動裝置威脅概況]

由於職場自攜設備 (BYOD) 工作方式的盛行，各種應用程式使用相同的網路，存取相同的資料，行動裝置生態系統讓工作與個人用途之間的界線更加模糊。儘管有各種挑戰，行動裝置應用程式開發人員仍有一些對策可提供企業資源，同時不犧牲企業的安全性與個人隱私。

六個開發人員須知:

1. 強制實施最小權限原則

將您應用程式執行時的權限要求，限制在必要的資訊或裝置元件範圍內。安全漏洞及惡意程式會利用使用者提升的權限。行動裝置並無不同。瞭解您所收集的資料，讓您可以清楚地定義您應用程式的信任邊界。確保您的應用程式設計介面 (API) 在其工作流程中實行此原則。

[趨勢科技白皮書：虛假應用程式：假冒真實性]

2. 實行堅實授權及多要素驗證

應用程序的驗證及授權中的缺陷，是行動裝置威脅常見的攻擊途徑，這些管道讓駭客透過中間人攻擊冒充其他使用者，或者存取裝置或應用程式的功能 (繞過 PIN 碼、將惡意程式碼注入應用程式等)。這些都是網路銀行應用程式的致命傷，例如取得一般使用者的銀行帳戶並竊取金融記錄，即可藉此獲利。開發人員應保護各項功能的安全，例如驗證員工的使用者身分，或判斷消費者可在應用程式中存取或執行哪些資源。繼續閱讀

下載應用程式至業務用手機,沒關係嗎?

2017 年 10 月 05 日2017 年 09 月 18 日趨勢科技 TrendMicro

是否曾經下載應用軟體至公司所配給的手機上？一般而言只要智慧型手機一到手，任何人都會想要下載自己喜歡的應用軟體吧。但是，公司所配給的智慧型手機未經過公司同意是嚴禁擅自下載應用軟體。

一般人透過第三方應用程式商店和分享網站下載時,往往不會檢查所下載應用程式的真實性，不瞭解這些應用程式中有很大量是惡意的。網路犯罪分子經常會偽裝成新或受歡迎應用程式的合法下載來誘騙使用者，如Super Mario Run(超級瑪利歐酷跑)。讓某些應用程式特別危險的是，它們運作起來看似很像真正的應用程式，但會包含其他的惡意程式碼，如垃圾廣告，甚至是惡意軟體。繼續閱讀

第一個鎖定 Dirty COW漏洞的Android惡意軟體,以色情應用程式為餌,偷偷訂閱付費服務

2017 年 10 月 03 日2017 年 10 月 13 日趨勢科技 TrendMicro

趨勢科技研究人員發現了第一個攻擊 Dirty COW漏洞的Android 惡意軟體: AndroidOS_ZNIU,已有超過30萬款Android程式夾帶ZNIU。目前超過40個國家偵測到該惡意軟體，主要出現在中國和印度, 但美國、日本、加拿大、德國和印尼也有受害者。直到本文撰寫時，有超過5000名 Android 使用者被感染。在惡意網站上有超過1200隻偽裝成色情和遊戲的應用程式,夾帶能夠攻擊 Dirty COW漏洞rootkit的ZNIU惡意應用程式。

2016年首次曝光的Dirty COW為藏匿於Linux的提權漏洞（CVE-2016-5195），可允許駭客取得目標系統上的root權限。漏洞被發現在Linux平台,包含Redhat和使用了Linux核心的Android。針對Android的Dirty COW攻擊一直到近日才出現，猜測攻擊者花了許多時間來開發能夠在主要設備上穩定執行的漏洞攻擊碼。

圖1：藏有ZNIU的色情應用程式

趨勢科技在去年製作過Dirty COW的概念證明（POC）程式，並且發現所有版本的Android作業系統都有此漏洞，不過ZNIU對Dirty COW漏洞的攻擊只限於ARM/x86 64位元架構的Android設備。另外，最近的這波攻擊可以繞過SELinux來植入後門程式，而 PoC程式只能修改系統的服務程式碼。

趨勢科技監視了6個 ZNIU rootkit，其中4個是Dirty COW漏洞攻擊碼。另外兩個是KingoRoot（一個rooting應用程式）及Iovyroot漏洞攻擊碼（CVE-2015-1805）。ZNIU使用KingoRoot和Iovyroot是因為它們可以破解ARM 32位元CPU的設備，而這是Dirty COW rootkit所做不到的。

感染流程

ZNIU惡意軟體經常偽裝成色情應用程式埋伏在惡意網站上,誘騙使用者點擊安裝。一但執行，ZNIU會跟C&C伺服器進行通訊。如果有可更新的程式碼，它會從C&C伺服器取得並載入系統。同時會利用Dirty COW漏洞來提升本地端權限，解除系統限制和植入後門,為未來遠端控制攻擊鋪路。

圖2：ZNIU感染鏈

進入設備主畫面後，惡意軟體會取得用戶電信業者的資訊,偽裝成設備所有人,利用基於簡訊的支付服務與電信業者進行交易。透過受害者的行動設備，ZNIU背後的操作者可以利用電信業者的付費服務獲利,有個案例是將款項轉至某個位於中國的虛設公司。當交易結束後，惡意軟體會刪除設備上的交易訊息，不留下電信業者和惡意軟體操作者間的交易紀錄。如果是中國以外的電信業者，就不會進行交易，但是惡意軟體還是可以攻擊系統漏洞來植入後門。