手機病毒/手機平板行動安全 - 資安趨勢部落格

你想知道誰在看你的社群媒體個人檔案嗎？InstaAgent 證明了社群媒體檢視詐騙仍然有效

2015 年 11 月 20 日2016 年 04 月 21 日趨勢科技 TrendMicro

你想知道誰在看你的社群媒體個人檔案嗎？

很多人都想，這也是為什麼許多社群媒體資料最後都會被駭。

最近的報導指出 Apple 和 Google 將一款熱門應用程式從應用程式商店下架，因為發現其實際上是惡意的。iOS上的「Who’s Viewed Your Profile – InstaAgent（誰在看你的個人檔案）」和Google Play上的「Who View Me – InstaAgent（誰在看我）」是號稱會秀出誰在看使用者Instagram帳號的追蹤應用程式，它們因為被發現會竊取個人憑證並送到遠端伺服器而被下架。

貧果

德國研發人員David Layer-Reiss將此發現放到Twitter上並說：「誰在看你的個人檔案 #Instaagent會將你的Instagram使用者名稱和密碼送至未知伺服器！」被取得的資料會被用來劫持帳號並試圖在未經使用者允許下上傳圖片。

該應用程式所宣稱的功能引起使用者的興趣，在其下架前帶來近百萬次的下載量，讓它能夠高踞英國免費應用程式排行榜四天。它也在美國、加拿大和德國登上熱門下載排行榜。Layer-Reiss進一步說，「我得說Who’s Viewed Your Profile – InstaAgent（誰在看你的個人檔案）是第一個在iOS App Store被下載超過五十萬次的惡意軟體」。而 Android版本的應用程式也有至少10萬次的下載 – 這數字很驚人，因為其只有低到2.2的評等。繼續閱讀

《小廣和小明的資安大小事》阿嬤好想要的神奇回春乳液

2015 年 11 月 18 日2015 年 11 月 11 日趨勢科技 TrendMicro

智慧型手機就一定安全！？

你是否如同漫畫中的阿嬤，認為智慧型手機很安全呢？

性質與電腦相近的智慧型手機，與電腦同樣可能碰到網路上的危險。其中必須注意的包括網路釣魚（Phishing）攻擊及誘騙付費攻擊、偽造的安全警告等，利用非法網站詐騙使用者的行為。目前已確認有針對使用智慧型手機瀏覽而刻意製作的非法網站。

網路釣魚攻擊

此手法乃利用假冒實際存在的企業所發出的電子郵件或社群網站的訊息，引誘使用者進入與真正的網站極為相似的非法網站，然後騙取使用者在網站上輸入的ID/密碼等個人資料。

【延伸閱讀】搜尋” LINE”,跳出假冒 LINE 網路釣魚詐騙網站,意圖盜帳號密碼！

誘騙付費攻擊

此手法會在使用者按下成人網站的圖片或電子郵件的網站連結之後，顯示「已完成入會註冊。請支付費用」等要求付款的畫面，藉此要求使用者付費。

繼續閱讀

百度 Moplus SDK 開後門,上億Android 用戶受影響!!

2015 年 11 月 06 日2015 年 11 月 10 日趨勢科技 TrendMicro

Moplus SDK 的後門行為以及相關的 Wormhole 漏洞

這是一項重大問題，甚至比 Stagefright 漏洞還要嚴重，因為後者還需經由網路釣魚連結將使用者帶到某個網站，或是透過使用者的電話號碼才能發送惡意簡訊。但此 SDK 卻讓駭客只需單純地掃瞄網路 IP 位址，而且不需使用者配合採取任何動作，也不需任何社交工程技巧。

一個名為 Wormhole (蟲洞)的漏洞，據報專門攻擊百度的 Moplus SDK 軟體開發套件，最近因其攻擊成功之後所帶來的嚴重後果而聲名大噪。此漏洞是由中國的漏洞通報開放平台 WooYun.og 所舉報。

然而，經過趨勢科技的仔細研究之後發現，Moplus SDK 本身就內含一些後門功能，所以前述攻擊不必然是因為漏洞所引起或與之相關。目前，普遍的看法是此問題源自於 Moplus SDK 的存取權限控管沒有做好適當管制。因此，這個看似漏洞的問題，其實是該 SDK 本身內含後門功能所造成，例如：推送網路釣魚網頁、隨意插入聯絡人資訊、傳送假冒的簡訊、將本地端檔案上傳至遠端伺服器，以及未經使用者允許就安裝任何應用程式到 Android 裝置上。而且只要裝置連上網際網路，這些功能就能順利執行。如今，Moplus SDK 已內含在許多 Android 應用程式當中，目前大約有 1 億名 Android 用戶受到影響。此外，我們也發現，已經有一個使用 Moplus SDK 的惡意程式在網路上流傳。

此篇部落格將探討 Moplus SDK 當中的惡意功能，以及這些功能將為 Android 裝置帶來什麼風險。

圖 1：一個利用 Moplus SDK 將自己偷偷安裝到裝置上的惡意程式。

挖掘 Moplus SDK 的祕密

Moplus SDK 是由中國搜尋引擎龍頭百度所開發。在此次調查當中，我們檢視了兩個不同的 App，一個是「百度地图」(百度地圖) (com.baidu.BaiduMap，8.7.0) 另一個是「奇闻异录」(奇聞異錄) ( com.ufo.dcb.lingyi，1.3)。雖然它們內含的 SDK 版本有所不同，但程式碼卻大同小異。

圖 2：「奇聞異錄」(com.ufo.dcb.lingyi) 當中的 Moplus SDK。 繼續閱讀

看片神器?! 以色情為號召的惡意程式威脅中國、台灣及日本 Android 使用者

2015 年 10 月 29 日2015 年 10 月 29 日趨勢科技 TrendMicro

「色情」永遠是個賣點，這一點對中國行動裝置威脅情勢來說真是再貼切不過。最近幾個星期，中國、日本和台灣的 Android 使用者不斷遭到以色情為號召的惡意程式攻擊。

這些惡意 App 程式都是經由假網站來散布，這些網站會利用一些熱門醜聞和外遇事件的關鍵字來毒化搜尋引擎。它們會假裝成色情影片網站，但全都會讓使用者裝置被植入各種不同的惡意 App 程式。這些以成人內容為誘餌的詐騙，讓我們想起多年前曾出現的單鍵付款詐騙 App。

趨勢科技發現了三個經由這類網站散布的惡意程式，它們都有相同的行為，也就是在使用者裝置上植入更多惡意 App 程式。這些程式會透過彈出式系統更新通知來推送至使用者裝置：

趨勢科技所偵測到的 AndroidOS_Souying.HRX 就是其中一個惡意程式，該程式內含漏洞攻擊程式碼，可攻擊多個核心驅動程式漏洞 (CVE-2012-6422、CVE-2013-2595 和 CVE-2014-2273) 來取得系統管理員權限。一旦取得權限，就能在系統上偷偷安裝其他惡意 App 程式。

不用多久，受害的裝置就會布滿各種惡意程式：

某些經由此方式植入的 App 會偽裝成色情影片，但其實是騙人的。

騙人的看片神器 繼續閱讀

Yispectre惡意程式感染中國和台灣：就算不越獄的 iPhone 也不一定安全

2015 年 10 月 21 日2015 年 10 月 22 日趨勢科技 TrendMicro

就在 XcodeGhost 攻擊事件爆發之後沒多久，緊接著就出現了一個名叫「YiSpecter」的最新惡意程式，專門感染 iOS 裝置。根據報導，此惡意程式可自行安裝在已越獄或未越獄的 iOS 裝置。YiSpecter 是第一個利用 Apple 非公開 API 漏洞的 iOS 惡意程式，駭客經由官方的 App Store 來進入 iOS 裝置 (不論裝置是否已越獄)。研究人員發現此惡意程式已經在外活躍將近 10 個月，絕大多數受感染的使用者都在中國和台灣。

[延伸閱讀：利用暗藏惡意程式的 Xcode 開發工具感染 iOS 應用程式]

YiSpecter 利用了獨創的自我散播技巧。其蹤跡最早可追溯至 2014 年 11 月，此惡意程式的散布方式之一是偽裝成網路色情視訊串流程式。此外，它還會藉由下列方式來散布：攔截來自國內 ISP 的流量、離線安裝應用程式、一個 Windows 裝置的社群網路蠕蟲，以及經由社群推薦。此惡意程式利用企業憑證和非公開 API 來躲過 Apple 的應用程式審查流程。

此惡意程式一旦進入 iOS 裝置，就能繼續下載、安裝、啟動其他應用程式，此外還會取代現有的應用程式、攔截廣告、修改瀏覽器預設搜尋引擎，並且上傳裝置資訊到幕後操縱 (C&C) 伺服器。而且，研究人員更發現，即使是手動刪除該惡意程式，它也還會再自己出現。

根據 Apple 最近發表的聲明：

「此問題只會影響使用舊版 iOS 並從非可靠來源下載了惡意程式的使用者。我們已在 iOS 8.4 當中解決了這個問題，同時也封鎖了散布此惡意程式的應用程式。我們鼓勵客戶應隨時更新到最新版的 iOS 系統來獲得最新的安全更新。此外，也鼓勵客戶務必僅從可靠來源 (如 App Store) 下載應用程式，並且留意下載時所出現的任何警告。」繼續閱讀