美國 BlackHat 大會上討論的三個行動漏洞:Android的「master key」漏洞,SIM卡和iPhone充電器漏洞

雖然大部分行動威脅都是以惡意或高風險應用程式的形態出現,行動設備還是會被其他威脅所擾。比方說三星Galaxy設備上所出現的臭蟲和OBAD惡意軟體可以利用漏洞來提升權限。不幸的是,這些並不是行動用戶所需要警惕的唯一漏洞。

就在最近的美國BlackHat大會上,有三個漏洞被討論著:Android的「master key」漏洞,SIM卡iPhone充電器的漏洞。

「master key」漏洞最初被報導會影響99%的Android行動設備。這和Android應用程式如何被簽章有關,可能會讓攻擊者不用開發者的簽章金鑰就可以更新已安裝的應用程式。利用這漏洞,攻擊者可以將正常應用程式更換成惡意軟體。當我們的研究人員發現一起攻擊利用這漏洞的去更新並木馬化銀行應用程式。我們親眼看到這個影響會有多大

另一方面,第二個行動設備弱點是多數SIM卡所用的舊加密系統。想利用這漏洞,攻擊者只需發送會故意產生錯誤的簡訊。結果就是SIM卡會回應包含56位元安全金鑰的錯誤代碼。這金鑰可以讓攻擊者用來發送簡訊給設備,以觸發下載惡意Java程式,可以用來執行一些惡意行為,像是發送簡訊,監控手機位置。

跟「master key」漏洞不同的是,SIM卡漏洞可能會影響更多的使用者,因為它並不限定作業系統。此外,由於所述威脅是因為使用舊的解密方式,更新SIM卡以使用較新解密功能對電信業者來說可能會被認為不切實際而昂貴。 繼續閱讀

近千萬人下載的南韓知名網銀 APP,遭Android 的 Master Key 漏洞攻擊

本月稍早,我們在部落格上說明了 Android 的 Master Key (金鑰) 漏洞,此漏洞可讓網路犯罪者將使用者裝置上所安裝的正常 App 程式「更新」為暗藏其惡意程式碼的版本。自從該漏洞出現以來,趨勢科技即一直密切觀察是否有任何利用此漏洞的威脅,現在我們發現了一個這樣的程式,其目標是南韓 NH Bank 網路銀行的 App 程式。

NH Nonghyup Bank (農協銀行) 是南韓最大的金融機構之一,其網路銀行 App 程式在行動裝置用戶之間使用頗為廣泛,目前安裝次數已達 500 萬至 1,000 萬之間。

歹徒看上該程式的熱門程度,在第三方 App 程式下載網站上提供了一份更新程式供人下載。當然,這份更新是惡意程式。此程式利用了 Android 的 Master Key 漏洞,在 App 程式內插入了一個惡意檔案,將它「木馬化」。

案藏惡意程式碼的「classes.dex」檔案比正常的版本小只有 205 KB

網路犯罪者也製作了一個該銀行 App 程式的木馬化版本,目的是要在使用者裝置尚未安裝該程式時派上用場。惡意的 App 程式在執行時會顯示一個假冒的頁面,要求使用者輸入帳號資訊。

木馬化的銀行 App 程式執行時會顯示的頁面。

 一旦使用者輸入資料並確認,資料就會傳送至歹徒操控的遠端惡意伺服器。 繼續閱讀

指定Facebook 文章轉推或按讚的詐騙服務

趨勢科技追查 Instagram 免費追隨者詐騙的過程中,我們發現網路上還有一些針對其他社交網路的類似服務。

其中,下面這個專門販售各種「追隨者」的俄羅斯網站,服務範圍涵蓋 Twitter、Google+、Facebook 以及 Instagram 等社交網路。


圖 1:宣稱專門販售各種社交網路追隨者的詐騙網站

該網站不只提供追隨者,而且還能幫客戶指定的某篇 Twitter 或 Facebook 文章轉推或按讚。費用則視追隨者、轉推以及按讚的數量而定。交易時,他們會要求客戶透過 interkassa.com 及 ligpay.com (行動裝置使用者) 等付款網站來付款。

圖 2:購買追隨者的幾種付款方式

最後,如同其他我們報導過的案例一樣,客戶跟本就得不到什麼追隨者、轉推或按讚,只會賠了錢又暴露自己的資料。 繼續閱讀

雲端服務消失會怎樣?

越來越多使用者將數位生活的一部分放入雲端,他們也越常遇到一個問題:它不會永遠存在。更具體地說,人們所依賴的雲端服務就跟任何其他業務一樣:它們可能會關門。
人物Keep your data in check6

近日有些雲端服務關閉或徹底改變了產品內容:

 

 

但這些服務所帶來的變化也有著明顯的「陣痛」。以MySpace為例子,它已經推出新功能一段時間了,並且在六月重新推出新版。有些人讚賞這新版,但還是有些忠實的用戶感到沮喪,因為新版會刪掉他們的內容。

行動技術和雲端服務的快速創新腳步也代表了,如果不幸的無法成功並且快速地獲利,那就會被關閉,即使有許多使用者依賴它們的服務。那麼身為一個使用者,如果同樣的事情發生在你身上,你可以怎樣做來盡量減少風險?

如果服務本身所使用的資料並非屬於你(比方說影片和音樂串流服務),那你沒有什麼可以做的。不過,如果是屬於你自己的資料,像是文件、圖片和新聞來源列表,那有些步驟可以進行。

還記得傳統的3-2-1備份規則:至少有三個副本,存放在至少兩種不同的媒體,至少有一個是異地儲存。將你的資料存放在雲端可以符合最後的兩個要求,不過這些副本不能是存放在服務自己的封閉雲端內。

舉例來說,將你的電影和圖片存一份在你的設備上(甚或是另一個雲端服務)。對於不同的雲端服務來說,程序會有所不同,但概念是一樣的:確保你的資料以應用程式或服務自己的伺服器之外的形式存在。

為雲端服務離線狀況做好準備可能像是個極端的預防措施。但是除了服務徹底消失外,還有許多情況會讓你需要在雲端服務離線下存取資料:你處在無/不安全/昂貴網路的情況下,或服務因為維護或安全事件而離線。

至於雲端服務供應商,他們最好可以在重大變動(或關閉)前的幾個月就加以公告。最近Google閱讀器關閉就是有效公告的一個好例子,因為這可以讓使用者的影響變到最小(當然,除了必須尋找另一個替代服務之外)。MySpace的不幸失態,顯示了改變或增強可能會有反效果。

基準點:「放入雲端」並不是讓你可以不盡心管理資料的藉口。你還是需要為你的資料負責,並且避免將所有的雞蛋放在同一個籃子裡。想要知道如何保護你存放在雲端的資料,可以參考我們的以下數位生活電子指南:「保持你的雲端資料在掌握中」。

 

保持你的雲端資料在掌握中

人物 Keep your data in check1

建立密碼、安裝安全軟體、養成安全的上網習慣。這些典型的安全措施並不足以保護你儲存在雲端的資料。

有許多因素可能會危及到它。註1網路犯罪分子就是一例,他們可能會為了名氣或金錢而籌劃攻擊活動,入侵你的帳號來刪除或洩漏你的資料。你所使用的雲端服務可能會突然遭遇硬體問題,使得你所有的一切都被消除。你的網路連線可能會變得太慢而幾乎無法存取你的雲端服務。

為了避免不必要的悲劇發生,你需要有著安全意識,並採取額外的步驟來確保你資料未來幾年的安全。

人物 Keep your data in check2

確保只有你可以回復你的密碼。

當建立網路帳號時,選擇只有你自己可以回答的密碼回復問題。現在的雲端服務有比較不常見的安全問題可選,越獨特的安全問題越好。如果可以的話,建立屬於自己的問題。

接下來,要建立足夠強大和獨特的答案,就跟要恢復的密碼強度一樣。讓答案完全不可能在網路上查到就能夠做到這一點。

比方說,如果你的安全問題是 – 「誰是你最喜歡的卡通人物?」應該沒有人有辦法去嘗試每一個卡通人物名稱,查看你的社群網頁或檢查你在部落格裡提到的卡通來找到答案。答案應該就像你的密碼一樣,只和你有關。

將答案的字母混雜更好,或是將它變成一個縮寫詞組。利用你原本答案的每個字母當成一個字的第一個字母。再組合成一個隨機短句。為了讓它更加安全,可以選擇和問題本身完全不相干的答案。任何網路犯罪份子都會非常難去猜出這樣的安全答案。

下面是一個例子:

安全問題:你在哪裡遇見你的另一半?

不好的答案:At work(在工作中)。

好答案:Aliens That Want Only Rocket Kits(外星人只需要火箭套件)。

【這是個很好的答案,因為它隨機,而且縮寫讓你足夠容易記住。】

最佳答案:開心果冰淇淋頂部帶有酸味

【這答案和安全問題完全無關,所以網路犯罪份子很難去猜到。】 繼續閱讀