出現在 iOS App Store上不尋常的記帳軟體

 

 

蘋果商店內的第三方應用程式商店竟可以藏身在 iOS App Store?!

iOS生態系通常被描述為封閉性的生態系統,處在 Apple的嚴格控制之下。但有心人士還是有辦法跳脫這嚴格的控制。還記得 Haima 應用程式嗎?它利用Apple所發放的企業憑證 – 這成本很高,因為所需的憑證要頻繁地改變。

趨勢科技最近發現一個可以從官方 iOS App Store下載的記帳應用程式,該應用程式帶有日文字,但應用程式商店本身是用中文。此外,它也出現在多個國家的App Store內。這個軟體名稱為為「こつこつ家計簿 – 無料のカレンダー家計簿」,也就是家庭記帳軟體。看起來是個家庭財務助手軟體,但實際上是一個第三方應用程式商店。透過這個第三方商店,可以下載被蘋果禁止的越獄應用程式,Apple已經將它從App Store中刪除。

 

圖1、iOS App Store內的家庭記帳軟體

 

 

圖2-4、應用程式啟動的各階段

 

程式碼(如下圖5)顯示當它首次啟動時會檢查系統使用者設定plist內的PPAASSWOpenKey鍵值。該應用程式利用這鍵值確認之前是否執行過:如果沒有,就不會有鍵值存在。該應用程式會轉去執行其他動作,要求資料使用權限來存取第三方商店。因為iOS的權限機制,這請求需要由使用者(圖2)同意。第一次請求失敗讓應用程式轉成記帳本畫面,偽裝成合法應用程式(圖3)。圖3的文字聲稱資料存取權限是從應用程式匯出資料所必須。 Continue reading “出現在 iOS App Store上不尋常的記帳軟體"

讓人中毒很深的熱門手機遊戲,本尊,山寨傻傻分不清楚?!

手機遊戲出現惡意軟體並非新現象。行動惡意軟體對企業和消費者來說都仍然是個問題,因為惡意程式數量一直地在攀新高。根據趨勢科技在2016年所得出的數據,光在2016年就封鎖了6,500萬次行動威脅,出現1,920萬個不重複的惡意Android應用程式。而在2015年總共只收集到1,070萬個樣本,這巨大的差距讓不少安全專家感到擔心。

根據Dark Reading上的一份Ponemon Institute研究報告顯示,有84%的IT安全人員對行動惡意軟體會相當擔心,相對起來擔心物聯網(IoT ,Internet of Thing)應用程式的比例只有66%。

有超過50萬人下載的「Pokemon Go指南」,竟夾帶惡意軟體

假應用程式和行動惡意軟體的例子隨處可見,特別是在遊戲市場。例如曾經風靡一時的手機遊戲Pokemon Go在2016年成為駭客和惡意分子的目標。當Pokemon Go在2016年中進入應用程式商店時,駭客們抓住這機會來誘騙使用者下載偽裝成「搶鮮版」的軟體。其他冒稱能夠協助遊戲進行的應用程式也出現問題。根據Digital Trend,有超過50萬人下載了一個「Pokemon Go指南」,那其實是被巧妙掩飾過的破解惡意軟體,讓駭客能夠去控制有安裝的手機。

即便是在遊戲發表以後,人們仍然會在第三方應用程式商店下載到山寨應用程式。趨勢科技在去年發現(在九月中旬回報)駭客仍在製造假應用程式並推銷給不知情的寶可夢愛好者,這都得歸咎於第三方應用程式商店Haima。第三方應用程式商店會透過企業部署作法繞過Apple的嚴格認證標準來派送應用程式 – 這替行動惡意軟體打開了後門。在越南的應用程式商店HiStore也有個山寨版本的遊戲,被下載的次數之多讓人不安 – 1,000萬次。這一切都顯示出Pokemon Go在推出之時就伴隨了許多問題,而且它會跟其他遊戲一樣繼續出現類似的問題。

遊戲惡意軟體網路犯罪史

這也並非是遊戲惡意軟體首次引發注意。在2013年,Security Week作者Fahmida Y. Rashid報導有研究顯示90%的熱門電腦遊戲(如魔獸世界、Minecraft、RuneScape和英雄聯盟)會被針對而出現惡意軟體。此問題是從少部分的玩家開始,積極地進入遊戲和入侵其他用戶帳號來試圖竊取個人資訊和付款資料。

這類型的惡意攻擊還可以回溯至更早的時期。早在2009年,PCWorld作者Patrick Shaw報導說惡意軟體開始染指網路遊戲。在訪談Lavasoft的行銷副總Michael Helander時,Shaw探索網路遊戲的概念並試圖理解駭客是如何看到將惡意軟體加到這些遊戲的價值。

「虛擬角色和虛擬物品可在真實世界買賣獲利」Helander這樣告訴Shaw。「猖獗的地下黑市證明了有為數不少的人準備好為此付錢。惡意軟體作者只是意識到有賺錢的機會,並且著手去攻擊利用網路遊戲。」

 

9,000個使用Mario名稱的應用程式,哪一個才是貨真價實的瑪利歐?

Continue reading “讓人中毒很深的熱門手機遊戲,本尊,山寨傻傻分不清楚?!"

Android 行動裝置威脅:Root 改機惡意程式和漏洞攻擊,隨著漏洞數量增加而趁勢崛起

趨勢科技 2016 年所攔截到6,500 萬行動裝置威脅,截至 2016 年 12 月為止,我們所蒐集和分析的非重複 Android 惡意程式樣本總數高達 1,920 萬,較 2015 年的 1,070 萬有著飛躍性成長。

就全球來看,目前最普遍的是漏洞攻擊和惡意的 Root 改機程式 。 

根據趨勢科技 Mobile App Reputation Service (MARS) 行動裝置應用程式信譽評等服務,以及 Smart Protection Network™ 全球威脅情報網的統計,2016 年,我們發現了超過 30 個 Android 系統漏洞並通報給 Google 和 Qualcomm。這些資安漏洞分散在 Android 的系統架構、裝置驅動程式以及 Linux 核心。其中有五項是重大漏洞,可能讓駭客取得本地端系統權限 (root) 或者從遠端執行程式碼。在我們所發現的漏洞當中,有 10 個以上可用來駭入系統執行程序,或者用於駭入系統核心。例如,核心加密引擎重大漏洞 (CVE-2016-8418) 可能讓駭客從遠端執行程式碼 (遠端 root 權限)。此外我們也通報了一系列有關 Android 效能系統模組的重大漏洞,可能讓駭客入侵系統核心。而 Android 系統也因為我們和 Google 的合作而增加了一些額外的安全機制

其他 2016 年揭露較大的 Android 漏洞與漏洞攻擊還有  Dirty COW  (CVE-2016-5195)、Rowhammer (CVE-2016-6728)、Drammer 以及 Quadrooter,全都可能讓駭客取得裝置的系統管理 (root) 權限。

隨著更多資安漏洞被發現,Root 改機惡意程式與漏洞攻擊也因此擁有更多的攻擊管道。CVE-2015-1805 就是一個被收錄到 Kingroot 改機程式當中的漏洞,該程式的下載量已高達 2.9 億次。當該程式的原始碼在網路上公開之後,該程式即不斷出現在各種攻擊當中。至於 Godless (ANDROIDOS_GODLESS.HRX) 則是 使用一個開放原始碼 Root 改機套件,該套件收錄了多種漏洞攻擊程式碼。截至六月為止,已有超過 850,000 台 Android 裝置受害,目前已有超過 79,780 個變種在網路上流傳。

另外還有 Ghost Push,其漏洞攻擊程式碼經常暗藏在 Google Play 商店的一些應用程式當中,目前已有 4,383 個變種在網路上流傳。LibSkin (ANDROIDOS_LIBSKIN.A) 首次出現是在 2016 年 2 月,目前已有 1,163 個變種,它會對受害的裝置進行改機 (Root),並偷偷下載及安裝其他應用程式,同時竊取使用者的資料。

有關 2016 年最猖獗的 Android 行動惡意程式 (根據趨勢科技偵測數據) 以及趨勢科技 2016 年所揭露的完整 Android 和 iOS/macOS 漏洞清單,請參考這份文件的「附錄」一節。

 

原文出處:In Review: 2016’s Mobile Threat Landscape Brings Diversity, Scale, and Scope

 

iOS 裝置攻擊管道多樣化,Apple 審查機制受到嚴格考驗

儘管行動威脅的感染方式和途徑大家都耳熟能詳,但行動威脅的多樣性、規模和範圍在 2016 年卻更加擴大。行動使用者目前仍是網路犯罪者所垂涎的目標,所以勒索病毒才會變得如此猖獗。再者,軟體被揭露的漏洞越來越多,歹徒也趁機擴大其攻擊面、惡意程式數量和散布方式。尤其,過去一向以安全自豪的 iOS 系統也開始淪陷。

2016 年,針對 Apple 裝置的攻擊主要是盡量避開 Apple 為了防止惡意程式上架所建立的嚴格審查機制。其中,Apple 的企業授權憑證是歹徒最常用來感染已越獄 iOS 裝置的方式。除此之外,也有越來越多漏洞遭到攻擊。這表示,隨著 Apple 的市占率不斷擴大,預料 Apple 的產品將有更多軟體漏洞被發現。

根據感染裝置的所在地點而調整其行為模式

2016 年,絕大部分可能有害的程式與惡意程式都會根據感染裝置的所在地點而調整其行為模式。例如,ZergHelper (IOS_ZERGHELPER.A) 在中國會假扮成某個第三方市集的應用程式,但在其他地區則是冒充成英文學習工具。同樣值得注意的是中國境內的第三方應用程式商店海馬 (以及越南的 HiStore) 會散布重新包裝且含有越權廣告的應用程式 (IOS_LANDMINE.A),此外還會濫用一些 iOS 的執行程序和功能利用軟體漏洞來避開 iOS 的隱私權保護機制。 Continue reading “iOS 裝置攻擊管道多樣化,Apple 審查機制受到嚴格考驗"

用 KGDB 來替 Android 除錯的實用技巧

內核(Kernel)除錯功能讓資安研究人員在進行分析時能夠監視和控制設備。在Windows、macOS和Linux等桌面平台上,這很容易進行。但要在Android設備(如Google Nexus 6P)上進行內核除錯則困難得多。在本文中,將介紹一種在Nexus 6P和Google Pixel上進行內核除錯的方法而無須特製的硬體。

Joshua J. Drake和Ryan Smith為此目的打造了一條UART除錯線,效果很好。然而對於不擅長製作硬體的人(像是筆者這樣的軟體工程師)來說,這可能很困難。而替代方案是透過serial-over-usb通道來進行內核(Kernel)除錯 也是可行的。

這個方法可以追溯到2010年,這表示部分介紹已經過時。但我發現的作法可以利用其關鍵要點,然後用在今日的Android設備上。讓研究人員可以使用除錯功能來確認CPU執行的當前狀態,讓分析更加快速。那該如何進行?

Android是用Linux內核打造的,其中包含了內建的內核除錯程式KGDB。KGDB依靠串列埠來連接除錯設備和目標設備。正常情況如下:

圖1、KGDB工作模式

 

目標和除錯設備透過串列線連接。使用者在除錯機上用GDB來附加串列設備檔案(如/dev/ttyS1),指令是target remote /dev/ttyS1。之後,GDB可以通過串列線和目標設備上的KGDB進行溝通。

KGDB核心元件處理實際的除錯工作,像是設置中斷點和取得記憶體內的資料。KGDB I/O元件可以連接KGDB核心元件和低階串列驅動程式以處理除錯資訊傳輸。 Continue reading “用 KGDB 來替 Android 除錯的實用技巧"

如何偵測和阻止《躲進口袋的壞東西》:行動裝置勒索病毒?

上一篇的文章:《行動裝置勒索病毒》躲進口袋的壞東西,Android勒索病毒數量增加了140%中,我們探討了惡意軟體如何鎖住設備以及如何說服受害者付錢的恐嚇手法。現在知道了壞人能夠做什麼,接下來要討論的是資安廠商用來阻止它們的偵測和解決技術。我們希望透過與其他研究人員的技術分享來提升業界解決行動勒索病毒的整體知識。

 

偵測和解決

檢視行動勒索病毒 Ransomware (勒索軟體/綁架病毒)的技術特性讓我們得以設計和做出正確的偵測和解決技術。有許多種方法可以處理這問題:我們的想法是這些惡意特性必須得出現在應用程式的程式碼中。我們利用靜態分析加上解決特殊狀況(例如透過映射進行混淆)的一些技巧。

 

圖1、各種找出行動勒索病毒的方法

Continue reading “如何偵測和阻止《躲進口袋的壞東西》:行動裝置勒索病毒?"

超過9,000個搭任天堂Mario(瑪莉歐)順風車的手機應用程式,約有三分之二都帶有惡意行為

「Super Mario」應用程式: – ANDROIDOS_DOWGIN.AXMD,偽裝成Mario(瑪莉歐)遊戲,,聲稱需要進行更新才能繼續玩,並提示安裝另一個應用程式;冒牌「Super Mario」- ANDROIDOS_DOWGIN.AXMD: 彈出式廣告導引到成人或惡意網站,出現假安全警告,甚至要求管理員權限。

假應用程式搭上任天堂手機遊戲:Super Mario Run順風車

在今年初,我們討論過網路犯罪分子如何利用Pokemon Go的熱門程度來推出自己的惡意應用程式。隨著2016年的即將結束,我們看到相同的故事發生在任天堂手機遊戲上:Super Mario。

►《延伸閱讀》:抓寶可夢竟有假 GPS 定位?! 山寨《Pokémon Go》假應用程式,廣告程式充斥

 

獨佔遊戲Super Mario(超級瑪莉歐)一直是任天堂遊樂器的重要成員,自從80年代中期以來,在各個平台上出過多款遊戲。但是不管手機遊戲市場如何成長,任天堂都沒有在行動平台上推出任何Super Mario的遊戲。這一切在2016年9月出現轉變,任天堂宣佈在iOS和Android上推出Super Mario Run(超級瑪莉歐酷跑)。iOS版本於2016年12月15日推出,Android版本計畫在明年推出。

超過9,000個搭Mario名稱順風車的應用程式,大約有三分之二都帶有惡意行為

在正式推出前,網路犯罪分子已經推出了自己的Mario(瑪莉歐)相關應用程式。自2012年以來,趨勢科技在網路上發現超過9,000個使用Mario名稱的應用程式。大約有三分之二都帶有某些惡意行為,包括未經使用者同意就顯示廣告和下載應用程式。自年初以來,我們已經偵測這些惡意應用程式約9萬次,大部分下載者來自下列國家/地區:

圖1、偽裝成Mario(瑪莉歐)相關的惡意應用程式下載分佈(2016年1月到11月)

 

趨勢科技所發現的惡意應用程式大多數只顯示廣告。但有一些會安裝不需要的應用程式到使用者設備上。我們來看看其中兩個惡意應用程式。

一個應用程式是偵測為ANDROIDOS_DOWNLOADER.CBTJ的「Super Mario」。它透過第三方應用程式商店散布:

冒牌「Super Mario」-ANDROIDOS_DOWNLOADER.CBTJ:聲稱需要進行更新才能繼續玩,並提示使用者安裝另一個應用程式

 

圖2、假的「Super Mario」應用程式

Continue reading “超過9,000個搭任天堂Mario(瑪莉歐)順風車的手機應用程式,約有三分之二都帶有惡意行為"

假銀行應用程式 SmsSecurity 變種來襲,除了竊取簡訊發送的密碼,還有更強大的隱蔽行動

新的SmsSecurity變種破解手機 濫用輔助功能和TeamViewer

在2016年1月,趨勢科技發現許多假的銀行應用程式「SmsSecurity」,號稱可以讓帳號擁有者用來取得一次性密碼(OTP)以登錄銀行;結果這些惡意應用程式,會竊取透過簡訊發送的密碼,還會接收來自遠端攻擊者的命令,控制使用者的行動設備。

延伸閱讀: 想像一下,你的銀行通知你要安裝更新版本的行動應用程式。下載應用程式後,它要求管理員權限。你所收到的通知內提到確實會出現此要求,所以你按下同意鍵。你試了一下應用程式,它運作正常。你甚至可以順利完成交易。…
當你試著想要解鎖手機時,有人已經清空了你的銀行帳戶:再次檢視Emmental犯罪行動

趨勢科技發現了加入新功能的新的SmsSecurity變種。新的功能包括:防分析能力、自動破解Android,語系偵測和利用TeamViewer進行遠端連線。此外,SmsSecurity現在也巧妙地利用Android輔助功能來進行隱蔽行動而無需透過使用者互動。趨勢科技將這些惡意應用程式偵測為ANDROIDOS_FAKEBANK.OPSA。

 

利用設備標示來防止分析

我們所看到的新變種被設計成不會在模擬器中執行。讓分析這些樣本變得更加困難。如何做到這一點?它會檢查Build.prop檔案,裡面包含了安裝在行動設備上的Android版本屬性。這些變種會檢查Build.prop中的值如PRODUCT、BRAND和DEVICE,來研判自己是在實體設備或模擬器上執行。

圖1、偵測模擬器的程式碼

 

可以看到上面的程式碼檢查可能為模擬器的「generic」設備。如果偵測到就不會執行任何惡意程式碼以躲避動態分析工具。 Continue reading “假銀行應用程式 SmsSecurity 變種來襲,除了竊取簡訊發送的密碼,還有更強大的隱蔽行動"

《概念證明應用程式》即便手機設定成不接受來自Google Play以外的應用程式,竟也可以偷偷安裝應用程式!

新的 Dirty COW攻擊方式 可讓惡意程式碼直接寫入程序

Dirty COW(編號CVE-2016-5195)是在2016年10月首次被公開披露的Linux漏洞。這是個嚴重的提權漏洞,可以讓攻擊者在目標系統上取得root權限。它被Linus Torvalds描述為「古老的漏洞」,在披露後就迅速地被修補。多數Linux發行版本都已經盡快地將修補程式派送給使用者。

Android也同樣受到Dirty COW漏洞影響,雖然SELinux安全策略大大地限制住可攻擊範圍。趨勢科技發現了一種跟現有攻擊不同的新方法來利用Dirty COW漏洞。這個方法可以讓惡意程式碼直接寫入程序,讓攻擊者能夠對受影響設備取得很大的控制。目前所有的Android版本都受到此問題影響。

不給錢就讓手機變磚塊!勒索集團威脅瀏覽色情網站Android手機用戶

概念證明應用程式:即便手機設定成不接受來自Google Play以外的應用程式,也可以偷偷安裝應用程式

下面的影片顯示一個已經更新最新修補程式的Android手機安裝了我們所設計的概念證明應用程式且無須要求授予任何權限。一旦執行,就可以利用Dirty COW漏洞來竊取資訊和變更系統設定(在這展示中會取得手機位置,開啟藍牙和無線熱點)。它也可以偷偷安裝應用程式,即便手機設定成不接受來自Google Play以外的應用程式。

 

為什麼會這樣?當執行一個ELF檔案時,Linux核心會將可執行檔映射到記憶體。當你再次打開相同的ELF可執行檔時會重複使用這份映射。當利用Dirty COW漏洞來修改執行中的ELF可執行檔時,執行中程序的映像也會改變。讓我們想想這代表什麼:Dirty COW可以修改任何可讀的執行中程序。如果程序不可讀,則用cat /proc/{pid}/maps來找出是否有任何載入中的ELF模組可讀。

在Android上也可以應用相同的步驟。Android Runtime(ART)程序可以用相同的方式動態修改。這讓攻擊者可以在Android設備上執行應用程式來修改任何其他可讀程序。所以攻擊者可以注入程式碼並控制任何程序。

 

圖1、改進的Dirty COW攻擊

 

這種攻擊將攻擊能力延伸到不僅僅只是讀寫檔案,而是直接將程式碼寫入記憶體。可以取得root權限而無須重新啟動或造成系統崩潰。

在我們的概念證明影片中,動態修改libbinder.so讓我們的應用程式取得系統root權限。我們使用這能力繞過Android的權限控管來竊取資訊和控制系統功能。

 

解決方式和資訊披露

趨勢科技已經將此問題通報Google。Dirty COW最初是透過2016年11月的Android更新加以修補,但這直到2016年12月的更新才強制此項修補。使用者可以詢問行動設備廠商或電信業者來了解自己的設備何時可以取得更新。

我們現在正在監控使用此類攻擊的威脅。強烈建議使用者只安裝來自Google Play或可信賴第三方應用程式商店的應用程式,並使用行動安全解決方案(如趨勢科技的行動安全防護)來在惡意威脅進入設備或對資料造成危害前加以封鎖。

企業使用者應該要考慮如趨勢科技企業行動安全防護的解決方案。它涵蓋了設備管理、資料防護、應用程式管理、法規遵循管理、設定檔配置及其他功能,讓企業主可以在自帶設備(BYOD)計畫的隱私安全與靈活性、增加生產力之間取得平衡。

 

@原文出處:New Flavor of Dirty COW Attack Discovered, Patched 作者:Veo Zhang(行動威脅分析師)