開啟趨勢安全達人「兒少防護網」，保護孩子的上網安全。
暑假來臨，是孩子們最歡樂自由的時光，但大人卻也繃緊神經，不僅要注意孩子與好友們出遊的安全，每天在網路上瀏覽的資訊更要注意！
雖然每個年代的娛樂方式都不同，但小孩接觸的資訊及行為卻是越來越複雜，對於不良的事物更是防不勝防，除了可能沉迷遊戲、社群軟體甚至有機會誤入色情網站。
根據台灣教育部調查，在平日上課期間，國小學生平均近1小時，國中生近2小時，高中職學生則是超過2小時的時間！
若是週休二日或是暑假時間呢？結果更是變本加厲，國小2小時，國中近4小時，高中職平均已經超過4小時了！隨著年紀越大沉迷的狀況越顯嚴重，而且對於出現瀏覽的內容更是難以掌控。
趨勢安全達人特地為了用戶上網的安全，開發一個「上網防護」的功能
《Pokemon Go(精靈寶可夢)》手機遊戲在去年 7 月 6 日正式推出之後，沒過多久即出現一個夾帶木馬的冒牌版本,接著又出現鎖定螢幕程式,還會幫你偷偷點色情廣告的程式。
今年 7月在寶可夢週年慶祝活動盛大舉辦之際，趨勢科技發現到一款會假冒成偽裝成 Pokemon GO 寶可夢的Android App，被駭客鎖定放置惡意後門程式，以竊取裝置的帳號資料 還會暗中錄音竊聽。這款被命名為「GhostCtrl」的後門惡意程式，主要是針對 安卓 (Android )用戶，會假冒成如 Pokemon GO 、WhatsApp 等熱門應用程式或手機遊戲，誘騙使用者上鉤。
最近攻擊以色列醫院的 RETADUP 資訊竊盜蠕蟲其實出乎我們的意料，能造成的威脅還不只這樣 (至少就衝擊面來看是如此)，它還會引來一個更危險的威脅，那就是可操控受害裝置的 Android 惡意程式-這就是趨勢科技命名為 GhostCtrl 的後門程式 (ANDROIDOS_GHOSTCTRL.OPS / ANDROIDOS_GHOSTCTRL.OPSA)。之所以如此命名，是因為它會暗中操控感染裝置的多項功能。
GhostCtrl 共有三種版本。第一版會竊取資訊並掌控裝置的特定功能，第二版會進一步操控更多功能，第三版則吸收了前兩版的優點之後再加入更多功能。從該程式的技巧演進情況來看，未來只會越來越厲害。
GhostCtrl 其實是 2015 年 11 月曾經登上媒體版面的 OmniRAT 這個商用多功能惡意程式平台的變種之一 (至少是以它為基礎)。它宣稱只要在 Android 裝置上透過觸控方式就能遠端遙控 Windows、Linux 和 Mac 系統。OmniRAT 套件的終生授權版價格約在 25 至 75 美元之間。不意外地，各大地下論壇到處充斥著使用 OmniRAT 工具的駭客教學，有些人甚至還幫它開發了一些修補程式。
事實上，有一個特徵可以看出這個 APK 的確是從 OmniRAT 衍生而來 (請看下圖)，由於這是一個 RAT 服務，因此這一點其實可以在程式編譯的時候修改 (或移除)。
圖 1：從 GhostCtrl 第 3 版的資源檔 resources.arsc 中可看出它是衍生自 OmniRAT 的變種 (請看標示處)。
此惡意程式會偽裝成一般正常或熱門的應用程式，名稱大多叫做 App、MMS、whatsapp，甚至是 Pokemon GO。當應用程式啟動時，它會從資源檔解開一個 base64 編碼的字串並寫入磁碟，這其實就是惡意 Android 應用程式套件 (APK)。
這個惡意 APK 會由另外一個負責包覆的外層 APK 來動態點選它，然後要求使用者安裝它。這程式非常難纏，就算使用者在要求安裝的頁面上點選「取消」，訊息還是會馬上又出現。此惡意 APK 沒有圖示。安裝到裝置之後，外層 APK 會啟動一個服務來讓主要惡意 APK 在背景執行：
圖 2：外層 APK 負責解開主要 APK。
主要 APK 具備了後門功能，而且通常取名為「com.android.engine」來讓使用者誤以為是一個正常的系統應用程式。接下來，惡意 APK 會連線至幕後操縱 (C&C) 伺服器來接收指令，透過「new Socket(“hef–klife.ddns.net”, 3176)」的方式來建立連線。
來自 C&C 伺服器的指令會經過加密，APK 在收到之後會自行解密。有趣的是，趨勢科技也發現此後門程式在連線時會使用網域名稱，而非 C&C 伺服器的 IP 位址，這有可能是為了隱藏通訊。此外我們也發現有多個網域都曾經指向同一個 C&C IP 位址：
值得注意的是，指令中可包含動作代碼和物件資料，駭客可透過這方式來指定攻擊目標和攻擊內容，因此這個惡意程式對犯罪集團來說非常彈性。該指令可讓駭客暗中操縱裝置的功能，讓使用者毫不知情。
以下是一些動作代碼和其對應的動作：
還有一個特別的 C&C 指令是一個整數指令，用於竊取裝置的資料，包括蒐集並上傳各種對網路犯罪集團有價值的敏感資訊，如：通話記錄、簡訊記錄、通訊錄、電話號碼、SIM 卡序號、地理位置、瀏覽器書籤等等。
PC-cillin 跨平台防護 Windows、Mac、Android、iOS跨平台全面防毒 》即刻免費下載試用
繼淘寶上出現「高仿版」的WannaCry 病毒，售價10 人民幣之後,上個月稍早，趨勢科技發現手機勒索病毒 Ransomware (勒索軟體/綁架病毒)「SLocker」出現了一個新的變種 (趨勢科技命名為：ANDROIDOS_SLOCKER.OPST)，其畫面很像之前肆虐全球的WannaCry(想哭)勒索蠕蟲勒索病毒。SLocker 家族基本上是最古老的手機勒索病毒之一，會鎖定裝置畫面並加密檔案，而且還會假冒執法機關的名義恐嚇受害者，讓受害者乖乖付錢。該病毒在沉寂了多年之後，突然在今年五月重出江湖。這次的 SLocker 變種基本上是一個針對 Android 平台的檔案加密勒索病毒 。
不過，雖然這個 SLocker 變種可將手機上的檔案加密，但卻沒有肆虐多久。因為，就在該病毒的詳細手法被公開之後，不久便出現針對該病毒的解密工具，為此該病毒也隨即推出更多變種。然而在該病毒首度被發現後的五天，一名疑似其作者的駭客即被中國公安逮捕。由於該病毒散布的管道有限 (大多經由 QQ 群和 BBS 系統之類的網路論壇散播)，因此受害者數量非常稀少。
圖 1：此勒索病毒相關的時間點。
趨勢科技最早取得的樣本是假冒成《王者榮耀》遊戲的作弊程式，叫做「王者荣耀辅助」。在安裝之後，其畫面長得很像 WannaCry 病毒，但這已經不是第一次該病毒出現仿冒者。
圖 2：第一個模仿 WannaCry 的手機勒索病毒。
趨勢科技發現一個 Trojan Android 廣告木馬程式 Xavier (趨勢科技偵測到為 ANDROIDOS_XAVIER.AXM)，會偷偷竊取或洩漏使用者的資訊,只要下載並開啟中毒的APP極有可能在不自知的情況下，個資全被傳送出去。依據趨勢科技行動裝置應用程式信譽評等偵測顯示,共有 800 多種內嵌廣告木馬程式 SDK 的應用程式，在 Google Play 已被下載數百萬次。這些應用程式涵蓋工具應用程式，例如照片編輯應用程式、桌布與鈴聲變更程式。Xavier 有一套自我保護機制，試圖保護自己免受偵測,此外也會下載和執行其他惡意程式碼。
駭客利用Xavier蒐集被感染裝置的SIM卡資訊、手機型號、語言、已安裝的應用程式、Android ID、電子郵件地址….等資訊，然後將資訊加密並傳送到遠端伺服器。大多數下載遭Xavier感染 App的用戶，來自東南亞，例如越南、菲律賓和印尼，台灣下載量為 5.36%。
雖然趨勢科技之前已發現過惡意廣告木馬程式 MDash SDK，但這款木馬程式的部分特性與之前的廣告木馬程式有所不同。首先，這款木馬程式內嵌惡意行為，會下載遠端伺服器的程式碼，然後載入並執行。接著，它會透過字串加密、網際網路資料加密以及模擬器偵測等方法，試圖保護自己免受偵測。
由於 Xavier 具有這類自我保護機制，可以規避靜態與動態的分析，因此很難偵測出它的竊取和洩漏能力。此外，Xavier 也會下載和執行其他惡意程式碼，並可能造成比惡意程式更危險的後果。Xavier 的行為取決於由遠端伺服器設定的下載程式碼和程式碼 URL 而定。 繼續閱讀
趨勢科技資安團隊偵測Android平台時發現廣告木馬程式Xavier內嵌在逾800個手機App中，全數共累積數百萬人次下載，並利用這些App暗中竊取用戶個資。
駭客利用Xavier蒐集和洩漏用戶的裝置資料，硬體面包括製造商、SIM卡製造商、產品名稱裝置ID等，個人化設定像是裝置名稱、使用語言、作業系統版本、已安裝應用程式、Google Play帳號，以及最常使用的電子郵件地址等。除了盜取資訊外，資訊攻擊已進化到讓駭客可以遠端鎖定你的行動裝置並安裝其他應用程式套至裝置內部，造成用戶難以察覺中毒。大多數下載遭Xavier感染App的用戶，都來自東南亞國家。 繼續閱讀