有後門功能的Android應用程式 ,埋伏在遊戲類應用程式

除了會替使用者訂閱不需要的服務還有會侵略性的派送廣告的惡意應用程式外,Android使用者也必須要小心那些有後門功能的應用程式。

有後門功能的Android應用程式 ,埋伏在遊戲類應用程式
有後門功能的Android應用程式 ,埋伏在遊戲類應用程式

雖然二〇一二年的主要惡意應用程式是加值服務濫用程式跟廣告軟體,但它們並不是Android上唯一的威脅。最近的頭條新聞有個關於殭屍網路/傀儡網路 Botnet運行在超過一百萬支智慧型手機上的報告,這正好說明了針對Android攻擊的多樣化,而且還沒有看到盡頭。

而在出現這些報告之前,我們從二〇一二年七月就開始看到這類型的惡意軟體,到目前為止實際偵測到4,282個樣本。趨勢科技所分析的相關樣本(趨勢科技偵測為ANDROIDOS_KSAPP.A,ANDROIDOS_KSAPP.VTD,ANDROIDOS_KSAPP.CTA,ANDROIDOS_KSAPP.CTB和AndroidOS_KSAPP.HRX)是從某第三方應用程式商店取得,但我們認為也可能出現在其他網站上。通常這些應用程式是放在遊戲類,有些會做成熱門遊戲的重新包裝版本。

我們所分析的第一批樣本是用相同的應用程式名稱,應該是來自同一家公司。

一旦這些惡意應用程式被安裝成功,它會連到下列的遠端網站以取得壓縮過的腳本程式,然後讀取這腳本程式:

  • https://{BLOCKED}y.{BLOCKED}i.com:5222/kspp/do?imei=xxxx&wid=yyyy&type=&step=0
  • https://{BLOCKED}n.{BLOCKED}1302.com:5222/kspp/do?imei=xxxx&wid=yyyy&type=&step=0
  • https://{BLOCKED}1.com:5101/ks/do?imei=xxxx&wid=yyyy&type=&step=0

需要解讀下載的腳本程式讓它比一般出現在Android上的殭屍網路/傀儡網路 Botnet惡意軟體更加複雜,因為惡意軟體可以透過新腳本程式來變更自己。

 

有後門功能的Android應用程式 ,埋伏在遊戲類應用程式
有後門功能的Android應用程式 ,埋伏在遊戲類應用程式

如上圖所示,這惡意軟體還會更新執行中的腳本程式,以避免被防毒軟體偵測。這個更新機制讓惡意軟體可以下載自身的新變種。遠端腳本程式還包含自訂指令,讓遠端攻擊者可以在受感染設備上執行。例如,應用程式可以執行測試用函數(代碼如下所示):

 

有後門功能的Android應用程式 ,埋伏在遊戲類應用程式
有後門功能的Android應用程式 ,埋伏在遊戲類應用程式

 

解讀遠端腳本程式,可以用Java反射(reflections)安裝新的Java物件(如變數和函數),因此動態的遠端程式碼可以在本地端執行,這可能會導致其他惡意檔案的下載。為了提示使用者安裝這些檔案,應用程式會顯示通知列或彈跳視窗。下載這些檔案的使用者則不幸的會讓他們的設備受到更多惡意軟體感染。更不用說安裝ANDROIDOS_KSAPP變種可以讓遠端攻擊者控制使用者的設備,執行更多可怕的指令。

二〇一二年已經成為Android威脅的一年,而不僅是試試水溫而已。在我們的二〇一二年度安全綜合報導中提到,Android惡意軟體的數量成長到卅五萬,相對於我們在二〇一一年所看到的一千個行動惡意軟體,這是個跳躍性的變化。這成長讓人聯想到一般電腦上的威脅歷史,只是用更快的速度。如果這種趨勢繼續下去,我們預測今年惡意和高風險Android應用程式的數量將會在二〇一三年達到一百萬繼續閱讀

如何更安全地使用PDF檔案

PDFAdobe Reader最近出現新的零時差漏洞攻擊,不禁會讓人想知道,是否有更安全的方式來使用PDF檔案。答案是肯定的:你可以在使用PDF檔案時降低它的風險。以下是建議的作法:

保持PDF讀器在最新版本,使用內建的自動更新功能或直接從廠商網站下載。

首先是每次都必須重複強調的,保持PDF閱讀器在最新版本。許多受歡迎的PDF閱讀器都內建某種形式的自動更新功能,讓你更容易做到這一點。要小心從不知名網站下載來的「更新」,因為常常會出現惡意的版本。使用內建的自動更新功能或直接從廠商網站下載。

這裡先不提那些老生常談的建議,像是不要打開可疑檔案或網站等。現在讓我們假設攻擊已經出現,透過那些看似正常而無法輕易分辨的手法,像是黑洞垃圾郵件攻擊

你可能會以很多種方式接觸到惡意PDF檔案,但大致來說,可以歸類為在瀏覽器內或不是兩種。瀏覽器內的攻擊是PDF檔案會在瀏覽器中打開,透過外掛程式或瀏覽器本身的功能。漏洞攻擊包就是個讓使用者經由瀏覽器接觸到PDF檔案的例子。

另外一種則是相反地,在瀏覽器以外的攻擊:檔案經由郵件程式或瀏覽器儲存到電腦上,然後用PDF閱讀器打開它。

瀏覽器內的攻擊,你可以做的就是盡量不要使用外掛程式來開啟PDF檔案。Google Chrome和Mozilla Firefox都可以使用整合的PDF閱讀器而無需依賴於外部應用程式。(Chrome瀏覽器是內建的功能,Firefox則需要下載一個外掛程式)。想要使用這功能,可能需要先關閉PDF閱讀器所安裝到瀏覽器的外掛程式,不同瀏覽器可能有不同的作法。

至於瀏覽器以外的攻擊,經由PDF閱讀器去開啟PDF檔案。一個常見的建議是避免使用Adobe Reader,但這並不是萬靈丹。第三方閱讀器也不能倖免於漏洞攻擊。使用不同的PDF閱讀器只是治標而不治本的作法,並沒有真正提供太多保護。 繼續閱讀

免費的Windows 8啟動程式?請先三思

邪惡伎倆透過免費或折扣的口號來吸引人一向都非常有效,因為人們都喜歡便宜。更何況,如果是個常常聽到過的產品,像是Windows 8。

趨勢科技在去年報導過一些假Windows 8序號產生器,偽Windows 8防毒軟體,以及在這產品推出時出現的網路釣魚郵件。雖然它已經推出好幾個月了,但我們還是發現有些網路壞蛋繼續利用這個Windows 8來吸引使用者上鉤。不過他們這次提供的是Windows 8啟動程式,利用了微軟提供升級Windows 8限定優惠折扣的消息。

根據趨勢科技的研究,有好幾個網站使用Windows 8作為關鍵字。聲稱提供免費的Windows 8啟動程式,但實際上是假貨(趨勢科技偵測為HKTL_KEYGEN)。

 圖一、提供偽Windows 8啟動程式的網站截圖
圖一、提供偽Windows 8啟動程式的網站截圖

趨勢科技所監視的其他網站也有提供免費的Windows 8啟動程式,號稱為「Windows 8 Activator Loader Extreme Edition 2013」。

圖二、提供流氓Windows 8啟動程式的網站

繼續閱讀

小心保護線上隱私

越來越多人會在網路上處理各種個人事務(像是網路購物和使用網路銀行)。你一定會想知道,到底有多少你的資訊可以在網路上被看到。網路跟我們的日常生活已經結合的如此緊密,網路犯罪份子也會用更新、更有創意的方式來打破我們在網路上的隱私。

一切都跟廣告有關

因為網際網路用途的大量增加,也讓網路公司很有興趣去追蹤大家都在網路上做些什麼。好讓這些公司可以據此來行銷產品和服務,多數人也都可以在社群網站、新聞部落格、線上娛樂頻道看到。事實上,網路廣告已經是大多數網站的金錢來源。

在2010年,Google披露了他們96%的收入來自廣告(放在自身網站或使用其廣告業務的網站上)。而社群網路巨頭Facebook的全球廣告收入也預估會在2011年上升104%,來到38億美元。

因為一些廣告服務供應商(像是Google AdSenseYahoo! Advertising Solutions)都提供客製化廣告的服務,你應該會發現服務供應商和廣告商是可以追踪你的線上活動的。廣告商會想辦法去收集資訊,比方說從你去過的網站和你填寫的線上個人資料中得知。


客製化廣告:
仙丹還是毒藥?

大部分網站的廣告需求都是經由第三方廣告網路來管理。線上廣告或是廣告網路是中介廣告商和希望提供廣告的網站所有者間的橋樑,廣告網路使用集中伺服器去提供對的廣告給對的網站訪客,也會在網路上監看著使用者的活動。

廣告網路還可以讓第三方公司透過使用者的網頁瀏覽記錄來觀察他們的線上活動,進而了解他們的喜好。雖然對某些人來說,將使用者與可能引起他們興趣的網路廣告做配對不是什麼問題,但也有些人覺得這是種對隱私的侵犯。對多數賣家來說是很方便跟有用,但對於他們所監看的人來說卻是在侵犯隱私。

要在瀏覽網頁時保護個人隱私,牢記下面的秘訣:

  • 定期刪除CookieCookies存放了網站相關資訊,所以有可能被網路犯罪分子所竊取利用。刪除Cookie有一個缺點,就是每當你再次訪問網站時,都會要求你重新輸入帳號名稱和密碼。
  • 使用隱私瀏覽:瀏覽器提供這種特殊模式好讓你的網路活動得以保密,不被窺探。選擇隱私瀏覽會使用新的瀏覽器視窗,並且會在你關閉視窗時刪除所有的歷史記錄和cookie。但是要注意的是,如果你的視窗還是開著,並不保證可以保持匿名,會讓廣告商仍然可以追踪到你。
  • 使用網路廣告促進會(NAI的選擇退出(Opt-out)工具。這個工具讓你可以選擇退出客製化廣告的目標。身為促進網路廣告自我節制的組織,網路廣告促進會(Network Advertising Initiative,NAI)讓你可以選擇不接受其成員公司的廣告行銷。因此,你可以不再被這些會量身打造廣告,但被你所封鎖的廣告公司所打擾。

過度分享的陷阱

當廣告網路需要根據你的網站偏好和使用模式來猜測你會感興趣的內容時,社群媒體已經擁有了所有的資訊,他們只需要你自己不停的提供給他們。感謝社群媒體整合了多個網站,社群網站可以很簡單的找到你的好惡。

也因此,社群媒體「採礦」快速地成為業界的標準做法,尤其是對那些保險和人力資源(HR)公司來說。比方說,他們會監看社群媒體好找到可能的詐騙案子,特別是根據報導,這些詐騙案每年會讓保險業損失大約三千萬美元。

被貼到社群網站的內容,現在也會被拿來在法庭聽證會上作為證據。像是在離婚過程中,會利用上傳到Facebook的照片來證明丈夫的不忠。

重新定義「隱私

大部分得歸功給今天的年輕人,在網路上保持使用者資料機密已經結束了。新一代的年輕社群媒體玩家對於保護和分享資訊有著不同的態度,他們樂意對各方提供個人資料。在短短幾年之內,具有隱私意識的人將成為少數。而這將是廣告業者,或者更糟的是 – 攻擊者的美好未來。

要將米蘭達宣告(Miranda Rights)的內容銘記在心 – 「你所說的一切,都可能成為對你不利的證據」,這代表你在網路上發表任何事情前都要先三思。避免分享太多,尤其是當你還不清楚如何設好你在社群網站上的隱私設定。想知道更多小技巧,來參考Facebook隱私設定:

Facebook 隱私設定-1(應用程式和廣告設定)

Facebook隱私設定-2(標籤,打卡與個人檔案能見度)

Facebook隱私設定-3(不是朋友也能”訂閱”及五個例外規則)

一個應用程式值得冒險嗎?

當越來越多使用者下載應用程式到他們的行動設備上時,安全和隱私也變成了更為嚴重的問題。智慧型手機已經成為駭客愛好的惡意軟體平台。

我們已經看到有應用程式用遊戲當幌子來監視使用者。也因此你要養成習慣,在安裝應用程式前先檢查它所要求的權限。許多應用程式都是透過廣告獲利,這代表著它們有著一樣的廣告網路隱私問題。 繼續閱讀

APT 駭客工具解密

趨勢科技2013安全預測中,我們提到惡意軟體會逐漸地演變,不會有太多顯著地變化。這可以從APT進階持續性威脅 (Advanced Persistent Threat, APT)使用一些(合法)駭客工具中看得出來。

attack

這為什麼是個問題呢?駭客工具是種灰色軟體,並不一定會被防毒軟體防毒軟體所偵測,或因為道德法律考量讓他們不這樣做。不幸的是,這意味著在APT進階持續性威脅 (Advanced Persistent Threat, APT)鑑識調查裡更難發覺它。此外,它也讓攻擊者省下自己開發工具的麻煩。常見到的駭客工具有:

密碼回復工具 – 用來將應用程式或作業系統存放在本地硬碟或註冊表內的密碼或密碼雜湊值取出的工具。通常被用來複製或偽造使用者帳號以取得管理者權限。雜湊值注入(Pass-the-hash)是種常見的方式讓攻擊者透過偷來的密碼雜湊值取得管理者權限。

  • 使用者帳號複製工具 – 當攻擊者取得密碼後,用來複製使用者帳號的工具。一旦取得足夠權限,攻擊者就可以繞過系統的安全措施,執行惡意企圖。
  • 檔案操作工具– 用來操作檔案(複製、刪除、修改時間標記、搜尋特定檔案)的工具。它被用來修改存取過檔案的時間標記或刪除特定組件以掩飾入侵的痕跡。它也可以讓攻擊者透過副檔名搜尋所需要的關鍵文件。
  • 排程工具– 用來關閉或建立排程的軟體。這可以讓攻擊者透過關閉軟體更新排程以降低受感染系統的安全性。同樣地,也可以做為惡意用途。例如,攻擊者可以建立排程以在特定時間自動竊取檔案。
  • FTP工具 – 用來執行FTP傳輸的工具,像是將檔案上傳到特定FTP站台。因為在網路上的FTP傳輸看起來比較不那麼可疑,有些APT(進階持續性威脅)幕後黑手會偏好將竊取來的資料上傳到遠端FTP站台,而不是上傳到C&C伺服器。要特別指出的是,有好幾個合法的FTP應用程式也被網路犯罪份子所用。
  • 資料壓縮工具– 這些工具本身並非惡意,也不被視為入侵用的工具。在大多數情況下,這些都是合法的檔案壓縮工具,像是WinRAR,只是被攻擊者用來將多個偷來的檔案加以壓縮合併。這可以在資料竊取階段,幫攻擊者將偷來的文件合成一個單一檔案上傳。在少數情況下,我們也看到這些應用程式被組合設定來壓縮預先定義好的一組檔案。

要如何判斷APT(進階持續性威脅)使用這些駭客工具?

我們已經看到要如何使用這些工具在APT進階持續性威脅 (Advanced Persistent Threat, APT)中取得管理者權限,並且收集關鍵文件。那麼IT管理員和進階使用者該如何利用這資訊來判斷有使用這些工具的APT進階持續性威脅 (Advanced Persistent Threat, APT)繼續閱讀