BankBot 專偷銀行帳密,偽裝 27 個銀行應用程式,攔截手機簡訊雙重認證

Android 平台 BankBot 惡意程式:ANDROIDOS_BANKBOT, 首次現身於今年 1 月。根據報導,它是從某個外流至地下駭客論壇的不知名公開原始碼銀行惡意程式強化而來。BankBot 之所以尤其危險,是因為它會偽裝正常的銀行應用程式,將自己的網頁覆蓋在正常的銀行應用程式操作介面上,進而騙取使用者的帳號密碼。此外,BankBot 還能攔截手機簡訊,因此不怕使用者啟用手機簡訊雙重認證。

Google Play 商店發現 BankBot 惡意程式偽裝成正常的應用程式到處散佈

在這一整年當中,Bankbot 一直偽裝成正常的應用程式到處散布,有些甚至在熱門應用程式商店上架。今年 4 月7 月,Google Play 商店上出現了含有 Bankbot 惡意程式的娛樂或網路銀行應用程式,總數超過 20 個以上。

資料外洩 信用卡 信上購物 網路銀行 手機 平板 行動裝置 online bank

最近,趨勢科技在 Google Play 商店上發現了五個新的 Bankbot 應用程式,其中有四個假冒成工具軟體。有兩個被立即下架,其他兩個則待得久一點,因此已經被使用者下載。BankBot 的下載次數約在 5000-10000 之間。

這次的 BankBot 新變種會偽裝成 27 個國家的銀行應用程式。此外,被假冒的應用程式數量也從 150 個增加到 160 個,新增了十家阿拉伯聯合大公國銀行的應用程式。

最新的 BankBot 版本只有在裝置滿足以下條件時才會運作:

  • 執行環境必須是真實的裝置 (而非模擬器)
  • 裝置所在位置不能在獨立國協 (CIS) 國家境內
  • 手機上原本就已安裝它所要假冒的應用程式

 將山寨網頁覆蓋在正常銀行應用程式上方,以攔截使用者所輸入的帳號密碼

當 BankBot 成功安裝到手機上並且開始執行時,它會檢查裝置上安裝了哪些應用程式。一旦找到它可假冒的銀行應用程式,就會試圖連上幕後操縱 (C&C) 伺服器,然後將該銀行應用程式的套件名稱和標籤上傳至伺服器。接著,C&C 伺服器會傳送一個網址給 BankBot,好讓它下載一組程式庫,內含用來覆蓋在銀行應用程式畫面上的網頁。惡意程式會將這些網頁覆蓋在正常銀行應用程式的畫面正上方,這樣就能攔截使用者所輸入的帳號密碼。 Continue reading “BankBot 專偷銀行帳密,偽裝 27 個銀行應用程式,攔截手機簡訊雙重認證”

Android用戶,你以為按下的是“確定”嗎? 當心Toast 覆蓋攻擊的隱藏按鈕,默默接管手機權限!

Android的Toast漏洞覆蓋(Overlay)攻擊, 將圖像疊加在其他應用程式或行動裝置的控制和設定部分。

「Android 趨勢科技」的圖片搜尋結果

 安全研究人員警告使用者關於可能導致Toast覆蓋(overlay)攻擊的Android漏洞。這種攻擊可能會誘騙使用者安裝惡意軟體,將圖像疊加在其他應用程式或行動裝置的控制和設定部分。

隱藏按鈕可以用來安裝惡意資料竊取應用程式,甚至是劫持螢幕和並鎖住使用者的勒索病毒 

覆蓋攻擊是指惡意應用程式會在其他執行中的視窗或應用程式上再繪製一個視窗。漏洞攻擊成功可以讓攻擊者欺騙使用者去點擊惡意視窗。

這是什麼意思?比方說看似正常的“確定”或“繼續安裝”圖示可以顯示在偷偷取得權限的隱藏按鈕上。它也可以用來安裝惡意資料竊取應用程式,甚至是劫持螢幕和並鎖住使用者的勒索病毒。

[延伸閱讀:CVE-2017-0780:阻斷服務漏洞可能導致Android訊息應用程式崩潰]

 

這個覆蓋攻擊做了什麼?

覆蓋攻擊本身並不新,而且Android作業系統內的解決方案讓它難以進行。要加以利用的惡意應用程式必須先取得使用者許可,並且必須從Google Play安裝。

但最近的漏洞提供了能成功執行覆蓋攻擊的方法。它利用的是Toast的漏洞,Toast是Android用來在其他應用程式顯示通知和訊息的功能。該分析還借鑒了電機電子工程師協會(IEEE)在最近的黑帽(Black Hat)安全大會所發表的“Cloak and Dagger”研究報告。該研究展示如何利用Android輔助功能服務的警告和通知功能來進行覆蓋攻擊。

 

[延伸閱讀:Android 手機勒索病毒再進化-更大、更壞、更強!]

所有版本的Android都有此漏洞,Toast甚至可以覆蓋整個螢幕

所有版本的Android都有此漏洞,除了最新的Oreo。Android Nougat有個預防措施,就是Toast通知只能顯示3.5秒。但是這可以透過將通知循環顯示來繞過。這代表攻擊者可以想蓋住惡意內容多久都可以。此外,Toast不需要與Android其他視窗有相同的權限,甚至可以利用Toast來覆蓋整個螢幕。

[延伸閱讀:GhostClicker廣告軟體是一個幽靈般的Android點擊詐騙]

 

你能做什麼?保持作業系統和應用程式更新,只從官方Google Play或可信賴的來源下載

此漏洞(CVE-2017-0752)的修補程式在最近以2017年9月Android安全通告的一部分發布。研究人員指出他們尚未看到真實的攻擊出現,但這並不代表你不需要更新你的行動裝置。使用此方法的惡意應用程式,所需要的只是安裝在你的行動設備上,並取得輔助功能權限。 Continue reading “Android用戶,你以為按下的是“確定”嗎? 當心Toast 覆蓋攻擊的隱藏按鈕,默默接管手機權限!”

防毒軟體評比:趨勢科技行動安全防護獲得AVC及 AV -Test評測: 100% 體偵測率和零誤判

智慧型手機和應用程式在這些年來有多進步,行動惡意軟體也就有一樣的成長。我們已經看到了越來越多的威脅出現 – 從行動勒索病毒自動點擊廣告軟體,到可能危及隱私的危險後門程式。而且還有合法的個人應用程式會被利用並用來針對你的公司。因為儲存在手機內的資料量及價值(從銀行資料到帳號憑證和聯絡人資訊),保護這些資料也變得越來越重要。

趨勢科技行動安全防護連續三年獲得AVC評測: 100% 體偵測率和零誤判

已經有許多的行動安全軟體可供消費者使用。為了更加容易選擇,有獨立機構會系統性地檢測各家軟體是否跟聲稱的一樣有效。AV-Comparatives(AVC)是其中之一,並且會“使用全世界最大量的樣本群來建立真實的環境,進行真正的準確測試”。AVC每年都會進行一次研究,在過去三年(2015年、2016年和2017年),趨勢科技提供給 Android消費者的行動安全防護 (TMMS)一直都在防護方面取得最佳成果 – 100%的惡意軟體偵測率和零誤判。

提供給 Android 消費者的趨勢科技行動安全防護使用趨勢科技的雲端技術趨勢科技主動式雲端截毒服務  Smart Protection Network和行動應用程式信譽評比技術來阻止威脅到達使用者。趨勢科技行動安全防護會掃描檔案並且使用了預測機器學習引擎,這是SPN所提供的功能之一。它將樣本與惡意軟體模型進行比對以取得概率分數,然後判斷檔案是否為惡意軟體。這樣一來,產品可以防止惡意檔案安裝,並提醒用戶加以移除或刪除。

AV-Test:三個使用趨勢科技行動安全防護的理由 Continue reading “防毒軟體評比:趨勢科技行動安全防護獲得AVC及 AV -Test評測: 100% 體偵測率和零誤判”

Android 銀行木馬再進化,冒充影片播放 app, 竊取銀行憑證和信用卡資料,還可繞過HTTPS安全連線

銀行木馬 EMOTET和Trickbot 在沉寂一段時間後再度死灰復燃,(趨勢科技將它們分別偵測為TSPY_EMOTET和TSPY_TRICKLOAD)。這些銀行病毒都是經由社交工程(social engineering )惡意垃圾郵件或網路釣魚(Phishing)郵件散播。安全研究人員指出它們還會利用蠕蟲、下載其它惡意軟體以及模仿銀行網域等方式散播。

 

EMOTET能夠“竊聽”經由網路連線傳輸的資料,以繞過HTTPS安全連線,並躲避傳統的偵測技術

EMOTET首次現身於 2014年: 假冒銀行轉帳通知!!利用網路監聽竊取資料 跟其他利用惡意網頁來竊取銀行資料的銀行惡意軟體不同,EMOTET能夠“竊聽”經由網路連線傳輸的資料。這讓攻擊者可以繞過像HTTPS這樣的安全連線,並且躲避傳統的偵測技術。在2016年12月,趨勢科技發現它再度出現在相同地區,還包括了熟悉的舊資料竊取軟體DRIDEXZeuS/ZBOT

最近再度出現的EMOTET還會植入DRIDEX病毒。垃圾郵件內的惡意連結會將受害者導向下載一個Word文件,內嵌會觸發PowerShell腳本的Visual Basic程式碼。這腳本會下載並執行EMOTET及其他惡意軟體,其中最常見的是DRIDEX,放在各攻擊者所擁有的網域。

 

Trickbot銀行木馬偽裝成登錄表格的Word文件,實際上嵌入了會從網路犯罪分子的命令與控制(C&C)伺服器下載Trickbot的惡意巨集

Trickbot銀行木馬是前輩DYRE/Dyreza惡意軟體的接班人,它會利用以假亂真的銀行網頁。也透過夾帶HTML檔案的惡意垃圾郵件散播。這些HTML檔案會下載偽裝成登錄表格的Word文件,實際上嵌入了會從網路犯罪分子的命令與控制(C&C)伺服器下載Trickbot的惡意巨集。 Continue reading “Android 銀行木馬再進化,冒充影片播放 app, 竊取銀行憑證和信用卡資料,還可繞過HTTPS安全連線”

勒索病毒藏在你的口袋裡趴趴走嗎?

近幾個月來,WannaCry(想哭)勒索蠕蟲 及 NotPetya 勒索病毒攻擊再度引起滿城風雨,讓人更審慎思考造成這些威脅的原因,許多領導廠商也再度推行資安防護,防範電腦漏洞。不過,有另一種極容易遭到勒索病毒入侵的端點可能被忽略了,說不定您口袋裡就有一個。

行動裝置比桌上型電腦更難監管

在 BYOD 或 COPE 政策開始施行後,在工作場所中使用智慧型手機、平板電腦等個人行動裝置的接受度越來越高,導致 IT 必須耗費大量心力來適切地控管這類硬體。然而行動裝置比桌上型電腦更難監管,勒索病毒的技術又越發精密,如果使用者未加警覺,就有可能受害。勒索病毒的攻擊目標逐漸鎖定行動裝置,但企業和員工卻沒有做足自我保護措施。

Mobile ransomware impacts device and business security.

2017年第一季行動勒索病毒較前一季翻3.5

2016 年被稱為勒索病毒之年,現在看來 2017 年不但承其基業,而且規模更勝以往。勒索病毒常發展出新變種,盡其所能威脅更多人。根據業界報告,2017 年第一季偵測到超過 218,000 個行動勒索病毒檔案,而前一季僅有 61,000 個。其中有高達 86% 的攻擊來自於 Congur 系列的勒索病毒,會在發動後重設裝置密碼,讓駭客取得管理員權限,有部分變種相當難以移除,因此該台裝置未來仍有被脅迫的風險。

行動勒索病毒會影響裝置和企業的安全性

行動勒索病毒的運用量持續上升,是不容忽視的威脅,有些駭客可能會要求 100 至 500 美元不等的贖金來解鎖裝置,但無法保證他們是否真會履行約定,而且駭客可能會再次將受害者當成目標。2016 年,駭客的攻擊行動賺進了 10 億美元,對企業造成不小的損失,而且還有合規問題和名譽受損的後果需要善後。企業領導者和員工必須學會辨識行動勒索病毒、瞭解其如何感染系統,以及該如何有效地保護自己。 Continue reading “勒索病毒藏在你的口袋裡趴趴走嗎?”

叫車app也有山寨版?! 冒充叫車應用程式的 FakeToken 木馬再現身

叫車程式會儲存及使用個人金融資訊和身分資料,FakeToken 變種木馬會即時監控 Android 裝置上所安裝的這類應用程式並試圖偷取相關資料。當使用者執行某個叫車程式時,FakeToken 就會顯示一個網路釣魚畫面並將它重疊在原本的應用程式畫面上,騙受害者輸入信用卡資料。而且網路釣魚畫面長得跟就像原本的應用程式一樣,包括標誌和配色等等。 此外,這一版的 FakeToken 還會攔截手機收到的簡訊,監控手機通話並錄音

趨勢科技提醒您,請勿在網路上分享過多個人資訊,同時也盡可能減少您提供給應用程式的權限。還有,務必小心一些不請自來的簡訊

您是否正準備使用您最愛的叫車程式來規劃您接下來的路線呢?請注意,如果該程式曾經不只一次向您要求輸入信用卡資料,那這很可能是個惡意程式。

資安研究人員發現,目前有個 Android 叫車應用程式其實是 FakeToken 銀行木馬程式所假冒 (趨勢科技命名為 ANDROIDOS_FAKETOKEN)。除此之外,該版本的 FakeToken 還會冒充成一些交通罰單或飯店和機票訂位的支付程式。  Continue reading “叫車app也有山寨版?! 冒充叫車應用程式的 FakeToken 木馬再現身”

網路犯罪者如何利用聊天應用程式 Discord 攻擊 ROBLOX 玩家?

我們常會聽到網路犯罪者鎖定遊戲玩家進行攻擊。過去我們曾通報許多類似事件,例如假遊戲應用程式、以線上遊戲貨幣從事現實貨幣洗錢等。攻擊者的目標通常很單純:竊取個人資訊並從中獲利,而遊戲本身也因此經常遭到濫用。

在本文說明的案例中,遭到網路犯罪者利用的並非遊戲,而是遊戲玩家所使用的通訊工具,Discord,這是玩家經常使用的新一代聊天平台,擁有超過 4,500 萬名註冊會員用戶。

ROBLOX

此攻擊案例涉及熱門的大型多人遊戲 ROBLOX,這個遊戲擁有 1 億 7,800 萬名註冊用戶,每個月超過 1,200 萬名活躍使用者。ROBLOX 的發展非常仰賴使用者建立的內容,玩家可以在 ROBLOX 的世界中建立自己的迷你遊戲與環境,並且與其他玩家遊玩分享。ROBLOX 亦具備社群網路的要素,鼓勵使用者進行社交、一起玩遊戲及建立內容,並賺取、消費可交換現金的專屬虛擬貨幣 ROBUX。

Discord 的詐欺漏洞

在網路犯罪者攻擊 ROBLOX 玩家的犯罪中,Discord 扮演何種角色?我們的研究發現,網路犯罪者濫用此聊天平台內建的一項功能,即應用程式設計介面 (API),API 讓此平台能執行使用者建立的程式碼與應用程式。網路犯罪者可藉此從使用 Discord 的目標系統中,竊取包含 ROBLOX 登入憑證的瀏覽器 cookie,具體而言,是 Discord 使用 webhook 的能力遭到濫用。Webhook 其實就是特定應用程式或程序符合條件時,讓聊天程式傳送訊息至指定頻道或使用者,Discord 因此成為資訊外洩的管道。

濫用 webhook 的手法可細分為以下步驟:

  1. 惡意程式感染目標系統,在此案例中,趨勢科技偵測到惡意程式 TSPY_RAPID.A。TSPY_RAPID.A 最早出現在遊戲論壇上,使用者將它貼在論壇上,宣稱是「作弊程式」,可讓玩家修改角色,取得勝過其他玩家的不當優勢。此惡意程式的程式碼中包含 Discord webhook,如下所示 (SHA256: a983e78219bf3c711c21c7dc23f03dca621ed5861578a8848a954ad9ac9f20e5)。Figure 1 1 在程式尾端夾帶 Discord webhook 惡意程式碼的螢幕截圖
  2. 此惡意程式會持續等待,直到偵測到被害者系統中的 ROBLOX,就會竊取使用者的遊戲帳戶 cookie。
  3. 惡意程式利用 Discord,將竊取到的 cookie 傳送給同樣連線至 Discord 的指定頻道或使用者。
  4. 遭竊的 cookie 即用於登入已遭入侵的 ROBLOX 帳戶,竊取儲存於帳戶的 ROBUX,推測最後換為現金。

Continue reading “網路犯罪者如何利用聊天應用程式 Discord 攻擊 ROBLOX 玩家?”

Google Play 上 340款應用程式,嵌有GhostClicker惡意廣告機制

趨勢科技在Google Play上發現有多達340個應用程式夾帶會自動點擊廣告的軟體GhostClicker(ANDROIDOS_GHOSTCLICKER.AXM),其中一個“阿拉丁冒險世界(Aladdin’s Adventure’s World)”被下載了500萬次, 而且評價高達4顆星。這些含有廣告軟體的應用程式涵括:休閒遊戲、設備效能工具(如清理工具和加速工具)和檔案管理程式、QR和條碼掃描程式、多媒體錄放程式、設備充電和GPS/導航相關應用程式。這些程式出現在台灣、東南亞及巴西、日本、俄羅斯、義大利和美國。

雖然大多數應用程式都已經下架,到2017年8月7日止還有101個夾帶GhostClicker的應用程式可以下載。

GhostClicker 會將自己隱藏在Google行動服務(GMS,Google最熱門應用程式和應用程式介面(API)組合),也會隱藏在Facebook廣告的軟體開發套件(SDK)。將自己嵌入到這兩個服務,皆以“logs”為名,可能是怕偽裝成合法應用程式元件比較容易引起懷疑。

《阿拉丁的冒險世界》被發現嵌有GhostClicker惡意廣告機制,下載次數超過500萬次,目前已被Google Play下架。
圖1:《阿拉丁的冒險世界》被發現嵌有GhostClicker,下載次數超過500萬次

 

隱藏在GMS或Facebook廣告SDK的GhostClicker程式碼
圖2、隱藏在GMS或Facebook廣告SDK的GhostClicker程式碼

 

 

GhostClicker企圖躲避撒箱偵測

Continue reading “Google Play 上 340款應用程式,嵌有GhostClicker惡意廣告機制”

誰偷打電話? Android用戶當心SonicSpy 間諜程式遠端控制你的手機!

目前,資安研究人員已 發現有超過 1,000 個應用程式感染了 SonicSpy 間諜程式 (趨勢科技命名為 ANDROIDOS_SONICSPY.HRX),這是一個可讓駭客操控 Android 裝置的惡意程式。

SonicSpy 是以熱門即時通訊軟體 Telegram 的開放原始碼為基礎所開發出來,其開放原始碼的用意就是希望讓大家能打造屬於自己的通訊平台。但 SonicSpy 卻在該軟體當中加入間諜與遠端遙控功能,然後換個名字將應用程式上架,例如:Soniac、Hulk Messenger、Troy Chat 等等。

目前感染 SonicSpy 的應用程式數量已超過  4,000 個,顯示 SonicSpy 背後應該有一個自動化開發流程。此外,資安研究人員也指出,這些間諜程式也會透過第三方應用程式市集和 網路釣魚簡訊來散布。網路釣魚簡訊 (稱為 SMS phishing 或 SMiShing) 同樣也是一種 網路釣魚攻擊 ,它會利用社交工程誘餌來誘騙簡訊接收者點選會下載惡意程式的連結。

[TrendLabs 資安部落格文章:Android 後門程式 GhostCtrl 可暗中錄音、錄影,而且還不只這樣…]

竊聽、偷拍、撥打高費率付費服務電話….SonicSpy 具備 73 種遠端遙控指令

SonicSpy 具備 73 種遠端遙控指令,其中包括:

  • 經由手機的麥克風來錄音。
  • 啟動手機的相機來拍照。
  • 對外撥打電話或發送簡訊到指定號碼,例如撥打高費率付費服務電話。
  • 讀取手機上的通話記錄、通訊錄名單以及 Wi-Fi 熱點清單。

Continue reading “誰偷打電話? Android用戶當心SonicSpy 間諜程式遠端控制你的手機!”

 “你的文件被加密了…帯好錢來聯繫我”簡中版勒索病毒 SLocker 模仿WannaCry 向錢看

趨勢科技的研究人員發現一個新變種SLocker會在Android上模仿WannaCry(想哭)加密勒索病毒介面。這被偵測為ANDROIDOS_SLOCKER.OPSCB的新SLocker行動勒索病毒的特點是會利用中國社群網路QQ的功能,還會持續鎖住螢幕。

SLocker是在7月被首度偵測和分析的Android檔案加密勒索病毒,會模仿WannaCry的介面。隨然中國警方已經逮捕遭指控的勒索病毒作者,但其他的 SLocker 操作者顯然仍未受影響,持續發佈新變種。

 

偽裝遊戲作弊工具,討論熱門手遊的QQ聊天群組成毒窟

受害者大多是從討論熱門手遊“王者榮耀”的QQ聊天群組感染這行動勒索病毒,這也是之前版本的傳染媒介。它會偽裝成遊戲作弊工具,使用名稱“錢來了”或“王者榮耀修改器”來作偽裝。這遊戲在中國非常受歡迎,有兩億的註冊使用者

病毒樣本被封裝成“com.android.admin.hongyan”(hongyan就是“紅顏”)和“com.android.admin.huanmie”(huanmie就是“幻滅”)。這兩個詞常被用在中國小說中,在青少年中很普及。

SLocker 中文簡體字勒索訊息自問自答寫著:

  • 發生了什麼?
    》你的文件被我加密了,解密的話帯好錢來聯繫我喔!
  • 除了付款有其破解方法嗎?
    》幾乎是沒有的,除非找我付款解密

先前的版本,還很狂妄地說:沒有我們的解密服務,就算老天爺來了也不能恢復這些文檔…

還要受害者注意語氣,沒錢不要來騷擾

SLocker 中文簡體字勒索訊息自問自答寫著: 發生了什麼? 》你的文件被我加密了,解密的話帯好錢來聯繫我喔! 除了付款有其破解方法嗎? 》幾乎是沒有的,除非找我付款解密
SLocker 中文簡體字勒索訊息

 

加密檔案螢幕截圖
加密檔案螢幕截圖

 

新變種的附加功能: 將受害者導向一個討論製作勒索病毒賺錢的QQ論壇

除了圖形介面(也有些設計變動)和可以在假工具執行時變更手機桌布外,這個新變種SLocker和之前版本並沒有其他相似之處。跟ANDROIDOS_SLOCKER.OPST不同,新變種使用Android整合開發環境(AIDE),這是可以直接在Android上開發Android應用程式的軟體。要注意的是,使用AIDE可以讓勒索病毒操作者更加容易製作Android軟體(APK),這樣的便利性會吸引新手來開發自己的病毒變種。 Continue reading ” “你的文件被加密了…帯好錢來聯繫我”簡中版勒索病毒 SLocker 模仿WannaCry 向錢看”