手機病毒/手機平板行動安全 - 資安趨勢部落格

【iOS安全】XcodeGhost 災難到底是怎麼來的？(含受影響應用程式清單)

2015 年 09 月 23 日2015 年 11 月 13 日趨勢科技 TrendMicro

在 Apple 的嚴格把關之下，長久以來，iOS 的 App Store 應用程式商店一直被視為一個安全的應用程式來源。不過，這樣的美好世界已經不再，因為該商店被發現有眾多正常的應用程式竟然暗藏著惡意程式碼，也就是外界所稱的「XcodeGhost」(Xcode幽靈)。

XcodeGhost 到底是怎麼來的？Xcode 是 Apple 各平台通用的程式開發工具套件，然而，中國的開發人員要從官方網站下載這套工具卻有困難，因為檔案很大 (好幾GB)，而且從中國連上 Apple 官方網站的速度又很慢。(對中國用戶來說，連上中國境內網站的速度遠遠超過連到國外。)因此，許多中國的 iOS 應用程式開發人員都並非從官方網站下載 Xcode 工具，而是從國內檔案分享網站下載別人

上傳的版本：

圖 1：分享 Xcode 的網站。

但問題來了，這些網路上分享的版本，被人偷偷換掉了原本的 CoreService (核心服務) 模組，加入了惡意程式碼。因此，每個利用這些工具製作出來的應用程式都自動包含了惡意程式碼。以下畫面抓圖顯示程式碼中被偷偷植入的惡意網址，而使用這些工具製作出來的程式就會連上這些惡意網址。第一張抓圖顯示的是被改過的 Xcode 6.2 版；第二張則是被改過的 6.4 版。被改過的 6.4 版還會試圖隱藏惡意網址，企圖蒙騙資安研究人員和資安廠商。(目前 Apple 所提供的最新版本是 Xcode 7，還有一個 7.1 Beta 測試版。)

圖 2：被改過的 Xcode 6.2。

圖 3：被改過的 Xcode 6.4。

受感染的應用程式

以下列舉一些暗藏 XcodeGhost 程式碼的應用程式。不過，由於這些「暗黑版」的 Xcode 在許多非官方網站上廣泛流傳，因此可能還有更多其他應用程式也遭到感染。請注意，截至本文撰寫為止，表中粗體字標示的應用程式仍可以在官方 App Store 上找到。

BundleID	版本	AppLabel
com.51zhangdan.cardbox	5.0.1	51卡保险箱
com.cloud1911.mslict	1.0.44	LifeSmart
cn.com.10jqka.StocksOpenClass	3.10.01	炒股公开课
com.xiaojukeji.didi	3.9.7	嘀嘀打车
com.xiaojukeji.didi	4.0.0	滴滴出行
com.xiaojukeji.dididache	2.9.3	滴滴司机
com.dayup11.LaiDianGuiShuDiFree	3.6.5	电话归属地助手
sniper.ChildSong	1.6	儿歌动画大全
com.rovio.scn.baba	2.1.1	愤怒的小鸟2
com.appjourney.fuqi	2.0.1	夫妻床头话
com.autonavi.amap	7.3.8	高德地图
com.stockradar.radar1	5.6	股票雷达
cn.com.10jqka.TheStockMarketHotSpots	2.40.01	股市热点
com.jianshu.Hugo	2.9.1	Hugo
com.wdj.eyepetizer	1.8.0	Eyepetizer
com.iflytek.recinbox	1.0.1083	录音宝
com.maramara.app	1.1.0	马拉马拉
com.intsig.camcard.lite	6.5.1	CamCard
com.octInn.br	6.6.0	BirthdayReminder
com.chinaunicom.mobilebusiness	3.2	手机营业厅
cn.12306.rails12306	2.1	铁路12306
cn.com.10jqka.IHexin	9.53.01	同花顺
cn.com.10jqka.IphoneIJiJin	4.20.01	同花顺爱基金
cn.com.gypsii.GyPSii.ITC	7.7.2	图钉
com.netease.videoHD	10019	网易公开课
com.netease.cloudmusic	2.8.3	网易云音乐
com.tencent.xin	6.2.5	微信
com.tencent.mt2	1.10.5	我叫MT 2
com.gemd.iting	4.3.8	喜马拉雅FM
com.xiachufang.recipe	48	下厨房
cn.com.10jqka.ThreeBoard	1.01.01	新三板
com.simiao-internet.yaodongli	1.12.0	药给力
com.gaeagame.cn.fff	1.1.0	自由之战

表 1：部分暗藏 XcodeGhost 程式碼的應用程式。

推播應用程式

面對輿論的壓力，XcodeGhost 作者已經寫信公開道歉，並且公開其原始程式碼。從原始碼中我們發現，它除了可能造成資料外洩之外，還可能從遠端推播 (Push) 應用程式。受害用戶很可能被引導到 App Store 中的某個應用程式。此外，XcodeGhost 也可用來向用戶發送通知，進而從事詐騙或網路釣魚之類的活動。
圖 4：XcodeGhost作者釋出的原始碼片段。

受害國家和地區

根據我們的監控資料顯示，中國是這起事件受害最嚴重的國家。不過，北美也遭受嚴重打擊。這一點並不太令人意外，因為許多受感染的應用程式也在中國以外地區發行。

圖 5：受害的國家。

趨勢科技已能偵測含有這類惡意程式碼的應用程式，識別名稱為：IOS_XcodeGhost.A。

原文出處：The XcodeGhost Plague – How Did It Happen?|作者：Ju Zhu (行動裝置威脅分析師)

《想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。

▼ 歡迎加入趨勢科技社群網站▼

【推薦】PC-cillin 雲端版榮獲世界著名防毒評鑑機構高度評比

趨勢科技PC-cillin雲端版，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

< 資安漫畫 > 跑步 app 透漏了不想公開的秘密!!

2015 年 09 月 23 日2018 年 04 月 18 日趨勢科技 TrendMicro

你的手機 APP,社群網站貼文和照片是否公開了自己的秘密？

社群網站雖然方便有趣，公開資訊時還是必須留意,免得像小明一樣,不小心將自己的體重洩漏給大家知道了,提醒大家除了貼文本身的內容外, 也要當心上傳照片時,GPS公開你的拍攝位置。

以廣受歡迎的照片分享社群網站Instagram為例,其「照片地圖」功能，可將位置資訊加入照片中，然後顯示在地圖上。旅遊時，開啟「新增照片地圖」並張貼照片，即可在地圖上回顧旅途的點點滴滴。繼續閱讀

有關 Hacking Team 資料外洩的行動惡意程式套件,你該知道的七件事

2015 年 09 月 16 日2015 年 09 月 16 日趨勢科技 TrendMicro

自從 Hacking Team 資料外洩的檔案在網路上曝光之後，引發了很多後續效應。除了一些新的 Flash Player 和 IE 漏洞被發現、攻擊、然後修補之外，該公司的工具套件原始碼也遭到外流。尤其是一套精密的惡意程式套件，叫做 RCSAndroid (Android 遠端遙控系統)，這是該公司對外販售用來監視特定對象的間諜工具。

根據趨勢科技的研究人員指出，這套間諜工具可說是「目前所見最專業、最精密的 Android 惡意程式之一。」

但RCSAndroid 間諜軟體到底可以做些什麼？受影響的對象為何？哪些裝置會受到影響？我們在下面快速整理了有關 Hacking Team 資料外洩曝光的行動惡意程式套件你該知道的一些重點：

它可利用前、後鏡頭拍攝照片
我們的研究人員在分析該行動惡意程式套件外洩的原始程式碼之後發現，RCSAndroid 程式可窺探監視對象的隱私。其功能包括監視 Android 裝置螢幕和剪貼簿中的內容、蒐集網路帳號的密碼和聯絡資訊，還有使用裝置的相機鏡頭及麥克風。
所有 Android Lollipop 之前的版本都受到影響
若你裝置的 Android 系統版本為 Froyo、Gingerbread、Ice Cream Sandwich 或 Jelly Bean，那你就有可能成為 RCAndroid 監視的對象。我們目前還尚未證實這套工具是否適用於所有裝置。但前述的版本幾乎已經涵蓋 82% 的 Android 裝置。
歹徒會利用兩種方式來讓鎖定的對象下載 RCSAndroid
第一種方法是透過簡訊或電子郵件發送一個特殊的網址到目標對象。第二種方法是利用一個隱匿的後門 App 程式，該程式可避開 Google Play 的機制。
Hacking Team 實際販售的間諜工具價格昂貴，且使用者須支付年度維護費用
據聞整套工具價格為 234,000 歐元或 260,000 美元。雖然 Hacking Team 販售的間諜工具價格昂貴，但由於程式碼已遭到外洩，因此現在任何人都有可能取得這套工具。由於 RCSAndroid 如此強大，而且現在又這麼容易取得，因此也變得更加危險。網路犯罪集團可隨心所欲地修改其原本的程式來配合自己的需求，還能透過各種管道來讓使用者安裝到自己的裝置上，使用者完全不曉得自己安裝了間諜程式。
現在任何 Android 開發人員都能輕鬆使用 RCSAndroid
任何 Android 開發人員，只要具備足夠的知識，就能使用這套行動惡意程式。我們對這套惡意程式以及它如何破解裝置權限來從事間諜活動有深入的分析，請參閱我們的部落格文章「會竊聽電話的 Hacking Team RCSAndroid 間諜工具」。
已感染的裝置很難偵測並移除該間諜工具
為了躲避偵測以免遭到移除，RCSAndroid 套件還有能力偵測自己是否在模擬器或沙盒模擬分析環境中執行。該程式還有一項功能是篡改 Android 封裝管理員 (package manager) 的資料來新增或移除某些權限和元件並隱藏 App 圖示。
某些惡意的行為是經由一個事件動作觸發 (Event Action Trigger) 模組來觸發
在已感染的裝置上，事件動作觸發模組可根據某些事件來觸發惡意行為。這些事件的觸發條件包括：時間、充電或電池狀態、地理位置、連線狀態、執行中的 App、取得焦點的 App、SIM 卡狀態、收到包含特定關鍵字的簡訊以及螢幕開啟。

繼續閱讀

《資安新聞週報》中國網路犯罪地下市場,掀起一波行動勒索軟體風潮/麻省理工學院在網路安全評比中敬陪末座

2015 年 09 月 14 日2021 年 12 月 23 日趨勢科技 TrendMicro

歡迎來到資安新聞週報，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

《中文媒體》

如何讓Windows 10停止監視你？(T客邦)

Windows 10內建了新的個人化廣告的設定，文中提出四個步驟，讓你可以掌握自己的隱私權要不要「被出賣」。

【延伸閱讀】假免費 Windows 10 更新通知信暗藏勒索軟體
 Windows 10 的新瀏覽器Microsoft Edge：有改進但也有新風險

中國網路犯罪地下市場,掀起一波行動勒索軟體風潮(趨勢科技資安部落格)

中國網路犯罪地下市場因少數中國網路駭客而掀起一波行動勒索軟體風潮，他們都是以同一套廣為流傳的惡意程式原始碼為基礎。而網路犯罪地下市場的運作模式更助長了這類威脅的大量繁衍。這一波威脅幕後的駭客都非常年輕 (16 至 21 歲)，但他們卻能輕易製作出 1,000 個以上的 Android 勒索軟體變種，這些都是趨勢科技所偵測到的 ANDROIDOS_JIANMO.HAT

【延伸閱讀】中國免費App,充斥山寨行騙,附贈間諜軟體,廣告軟體及付費簡訊
 :每兩個網路銀行 App 程式就有一個是惡意或假冒的程式

汽車駭客威脅趨勢提3招應對(聯合財經)

趨勢科 red car 技全球支援與研發中心Trend Lasbs一項研究，揭露Skoda汽車所使用的SmartGate系統，在安全上的漏洞，恐遭受汽車駭客攻擊，造成車主安全上的疑慮；研究並進一步提出變更無線網路發射功率、變更無線網路密碼和變更Wi-Fi D
irect PIN碼，以及變更無線網路名稱等三項防護建議。

Fiat Chrysler召回近8000輛Jeep休旅車修補軟體漏洞！( IT home)

今年7月研究人員展示如何入侵Fiat Chrysler所開發的Uconnect車載資訊娛樂系統，從遠端操控汽車的空調、音響、雨刷及剎車,幾天後Fiat Chrysler即宣布史上頭一遭因軟體漏洞而召回汽車的活動。這已是Fiat Chrysler近兩個月內第二次因為類似原因召回汽車。
【延伸閱讀】陌生人遠端接管你的車子，但你仍在駕駛座上 !! 談汽車聯網安全

【資安大會焦點直擊】韓國KrCERT如何重金打造全球最大網安危機處理中心(IT Home)

韓國長期面對北韓的威脅，韓國電腦網路暨危機處理協調中心（KrCERT/CC）副研究員朴文範（Park Moonbeom）來台分享了KrCERT/CC如何確保民眾和中小企業在網路世界的安全。早在十多年前韓國民眾或企業便可直播24小時服務的188資安服務電話專線，協助解決資安問題。

【延伸閱讀】趨勢科技「白帽菁英養成計劃」率先響應政府資安人才培育政策多元投注資源培育台灣資安人才

網購風險86小舖居冠牢記防騙三「不」曲(卡優新聞網) 繼續閱讀

竊聽,偷拍,窺簡訊,秘密錄音….RCSAndroid的10個間諜能力,威脅 Android 用戶

2015 年 09 月 11 日2016 年 10 月 21 日趨勢科技 TrendMicro

繼新聞報導指出 iOS 裝置可能遭到 Hacking Team 間諜程式監聽之後，現在 Android 裝置也將遭殃。趨勢科技在 Hacking Team 資料外洩的檔案當中發現其開放原始碼惡意程式套件 RCSAndroid (Android 遠端遙控系統) 的程式碼，這是該公司所販賣的一項間諜工具。

RCSAndroid 工具的程式碼是至今曝光的所有 Android 惡意程式當中寫得最專業、最複雜工具之一。程式碼的外洩已讓它成為一項公開的商業間諜利器。Android 用戶隨時留意裝置是否有遭到監聽的跡象。可疑的跡象包括系統出現異常行為，例如：不正常重新開機、裝置上出現一些莫名其妙的應用程式、即時通訊軟體突然當掉等等。

有關 Hacking Team 資料外洩入侵事件的各種消息及後續漏洞報導都著重在Adobe方面，但有一小塊對Android使用者很重要的訊息卻被許多人給忽略掉。

我們從 Hacking Team 資料外洩中所發現的攻擊手法及工具裡面，有一個特別惡劣的Android 惡意軟體稱為 RCSAndroid（Remote Control System Android）。RCSAndroid 工具的程式碼是至今曝光的所有 Android 惡意程式當中寫得最專業、最複雜工具之一。其程式碼的曝光，讓網路犯罪集團又多了一項新的利器可強化其間諜行動。

此一惡意軟體被該公司出售作為監控目標的工具。不同於其他惡意軟體，此一惡意軟體可安裝到 Android 手機上且近乎無法察覺。

跟其他個人電腦或Android上的惡意軟體不同，這個惡意軟體是真正的間諜工具。它安裝後所能做到的功能包括收集Android螢幕上的資訊、收集簡訊、收集電子郵件、拍照,甚至可竊聽電話，並且會打開內建麥克風錄製談話。它會針對Android設備進行漏洞攻擊,直到成功安裝為止。

根據外洩的程式碼看來，RCSAndroid 應用程式具備下列10 個間諜能力：

透過「screencap」這個指令擷取螢幕抓圖，並可直接讀取螢幕緩衝區內容。
監看剪貼簿的內容。
蒐集 Wi-Fi 網路與各種網路帳號的密碼，如：Skype、Facebook、Twitter、Google、WhatsApp、Mail 及 LinkedIn。
利用麥克風錄音。
蒐集簡訊、多媒體簡訊與 Gmail 訊息。
蒐集定位資訊。
蒐集裝置資訊。
利用前、後鏡頭拍照。
蒐集聯絡人，解讀即時通訊訊息，如：Facebook Messenger、WhatsApp、Skype、Viber、Line、WeChat、Hangouts、Telegram 以及 BlackBerry Messenger。
攔截系統的 mediaserver 服務，即時錄下任何行動電話與 App 的語音通話。

※RCSAndroid 工具的程式碼是至今曝光的所有 Android 惡意程式當中寫得最專業、最複雜工具之一。程式碼的外洩已讓它成為一項公開的商業間諜利器。Android 用戶隨時留意裝置是否有遭到監聽的跡象。可疑的跡象包括系統出現異常行為，例如：不正常重新開機、裝置上出現一些莫名其妙的應用程式、即時通訊軟體突然當掉等等。看更多關於會竊聽電話的 Hacking Team RCSAndroid 間諜工具

此種威脅自2012年起就出現了，但在7月因為兩個原因而出現重要轉折。

首先，因為 Hacking Team 資料外洩事件所被披露的文件,讓研究人員可以深入研究惡意軟體。其次，這惡意軟體可以透過Google Play上看似合法的應用程式來植入。雖然惡意軟體本身沒有出現在Google Play上，但其他應用程式會附帶啟動並加以安裝該惡意軟體。

在所有的 Android 威脅裡，這是我們所看到手法相當高竿的,其實這也不難理解，因為它的買主包含國家情報機構。

雖然我們大多數人感覺起來不太可能成為如此複雜間諜軟體攻擊的攻擊目標，但現在此惡意軟體背後的工具和技巧已經被公布周知，在 Android 惡意軟體在 2015 年 3月已經衝過了 500萬大關之際,可以預期會更廣泛地被其他惡意軟體作者所利用。繼續閱讀