手機病毒/手機平板行動安全 - 資安趨勢部落格

近七成行動裝置威脅屬於越權廣告程式

2015 年 01 月 27 日2015 年 01 月 27 日趨勢科技 TrendMicro

2014 下半年重大行動裝置威脅

隨著使用者對行動裝置的接受度越來越高，行動裝置威脅也隨之而來。 2014 年底網路犯罪集團利用各種方式，例如攻擊熱門平台、發掘裝置漏洞、開發更精良的假冒 App 程式等等，來竊取行動裝置上的個人資料，並直接拿到地下市場販賣。

行動裝置威脅正以飛快的速度朝精密化發展，惡意程式作者正是利用一般大眾不知如何正確設定行動裝置以及不知該從正常安全管道下載 App 程式的弱點。不僅如此，大多數的使用者對平台的安全建議也視若無睹，這就是為何許多人會為了獲得進階功能或是貪圖免費程式而破解行動裝置保護 (如越獄或 root)。

2014 上半年，我們見到非重複性行動裝置惡意及高風險 App 程式樣本數量正式突破二百萬大關，而且數量還在不斷增加，這距離上次突破一百萬大關僅僅六個月的時間。此外，我們也見到行動裝置惡意程式正逐漸演出成更精密的變種，例如數位貨幣採礦惡意程式 ANDROIDOS_KAGECOIN 和行動裝置勒索程式 ANDROIDOS_LOCKER.A。

[延伸閱讀：2014 上半年行動裝置資安情勢總評 (The Mobile Landscape Roundup: 1H 2014)]

這份報告詳述 2014 下半年的情勢發展，包括重大的行動裝置威脅及趨勢。

惡意及高風險的 App 程式數量現已達到 437 萬

行動裝置惡意程式數量在 2014 下半年又翻了一倍以上，距離上次突破二萬大關僅僅六個月的時間。現在，網路上惡意及高風險的 App 程式總數已達到 437 萬。這意味著，從該年上半年結束至今已成長了大約 68%，也就是 260萬。

2014 年惡意及高風險的 App 程式成長趨勢

若從這幾百萬當中挑出那些明顯惡意的 App 程式，我們發現它們絕大多數都是行動裝置惡意程式家族排行榜的成員：

2014 年行動裝置惡意程式家族排行榜

若就它們對行動裝置的影響來分類，我們發現大約 69% 的行動裝置威脅都屬於越權廣告程式。越權廣告程式是指那些拼命顯示廣告而讓使用者無法專心好好使用裝置的程式。其次是高費率服務盜用程式 (PSA)，占惡意及高風險 App 程式的 24% 左右。PSA 會在背後偷用一些高費率服務，讓使用者的手機帳單無故飆高。

2014 年主要行動裝置威脅類型分布比例

另外，以下為 2014 下半年越權廣告程式家族排行榜：繼續閱讀

應用程式內不正常的AndroidManifest.xml可能導致手機崩潰

2015 年 01 月 23 日2015 年 01 月 18 日趨勢科技 TrendMicro

每個Android應用程式都包含了數個元件，其中一個稱為AndroidManifest.xml或Manifest配置文件。這個檔案中包含了應用程式的基本資訊，是系統執行應用程式程式碼必須要有的資料。我們發現一個和此檔案相關的漏洞，可能會導致受影響手機陷入重新啟動的無限迴圈，讓手機變得無法使用。

Manifest資源配置文件漏洞

這個漏洞會透過兩種不同的方式導致作業系統崩潰。

第一種牽涉到超長字串和記憶體分配。一些應用程式可能會使用DTD技術（文件類型定義，Document Type Definition）在其XML檔中包含了超長字串。當此字串被分配給AndroidManifest.xml內的標籤（如權限名稱、label、活動（Activity）名稱）引用時，PackageParser會需要記憶體來解析這XML檔。然而，如果它需要的記憶體比可使用的還多時，PackageParser會崩潰。這會觸發連鎖反應，讓所有正在執行的服務停止，整個系統會因此重新開機。

第二種方法牽涉到APK檔和intent-filter，它用來宣告服務或活動（Activity）可以做的事情。如果Manifest資源配置文件內包含一個活動（Activity）帶有這此intent-filter定義，會在桌面建立一個圖示：

<intent-filter>

<action android:name=”android.intent.action.MAIN”/>

<category android:name=”android.intent.category.LAUNCHER”/>

</intent-filter>

如果有許多活動（Activity）用此intent-filter定義，在安裝後會建立相同數量的圖示在主畫面中。如果數量太多。這APK檔就會導致重新開機迴圈。

如果活動（Activity）的數量大於10,000：

在Android 4.4上，桌面管理程序會進行重開機。
在Android L上，PackageParser會崩潰和重開機。不正常的APK檔會被安裝，但不會顯示圖示。

如果活動（Activity）的數量超過100,000，手機會陷入重新開機迴圈。繼續閱讀

我的iPhone刀槍不入?

2015 年 01 月 19 日2015 年 01 月 19 日趨勢科技 TrendMicro

iPhone 使用者很容易就會陷入跟 Apple Mac OS 使用者一樣的迷思。他們相信自己所選的設備跟競爭對手比起來「更少漏洞」或「更加安全」。真的如此嗎？「較少被針對」真的等於「更加安全」嗎？

作者：趨勢科技全球安全研究副總裁Rik Ferguson

大部分對行動作業系統及服務的疑慮都集中在Android平台相關的風險。這個生態系統開放且散佈廣泛的本質無疑地也讓它成為最普遍也最廣泛的目標，也遭受到最成功的攻擊。

Google 的 Android系統跟 Apple iOS 相較起來，一向都有著較不嚴謹的應用程式權限系統、因為支援第三方應用程式而更加開放的應用程式散播方式，更加廣泛地嵌入在各種設備和服務內。因為這些以及諸多原因，網路犯罪分子將注意力都集中在此平台上，幾乎忘了Apple iOS。事實上，我們目睹了惡意軟體和惡意應用程式在Android平台上出現無人可比的快速爆炸性成長。Android惡意軟體在僅僅三年內就達到Windows惡意軟體用上15年所達到的數量。

正因為如此，所以也可以理解為什麼 iPhone 使用者很容易就會陷入跟 Apple Mac OS 使用者一樣的迷思。他們相信自己所選的設備跟競爭對手比起來「更少漏洞」或「更加安全」。真的如此嗎？「較少被針對」真的等於「更加安全」嗎？答案是否定的；沒有上鎖的房子仍然可能被侵入，即便它還沒有被竊過。

一個對此的客觀評估是檢視各平台上通報的漏洞數量。結果可能令人驚訝。根據美國國家漏洞資料庫，iOS自其最初版本開始已經有了超過 400個漏洞，而 Android 以接近 350 個拿到第二名。因為iOS上市的時間稍微久一點，所以這細微的差別幾乎不值一提。更值得注意的是 iOS 平台上稀少的惡意軟體。

有兩個因素可能會在不久的將來結合起來打破這種不平衡的情況；一個由廠商控制，而另一個則顯然的不是。

現在一個關鍵的產業趨勢是融合，Apple也不例外，Mac OS 和 iOS 在功能上已經有越來越大程度的融合，誰敢說未來不會從程式碼資料庫的角度進行。桌面設備、行動設備、智慧型設備、居家視聽和穿戴式設備的融合會產生更加均勻和相互關聯的受攻擊面，無疑地會讓攻擊者想加以利用，再加上了使用者自以為刀槍不入的錯誤心理，對攻擊者來說變得非常具有吸引力。

第二個因素可以回顧到我們在2014年底所做的預測。會在未來12個月內看到第一次真正的跨平台漏洞攻擊包出現。這會提供一種自動化的方式來攻擊各種被針對系統的漏洞。如果是在智慧型手機上，這代表攻擊者可以打破應用程式商店環境的牢籠。不再需要依靠第三方應用程式商店和部分受害者的不當行為去安裝假應用程式。

跨平台漏洞攻擊包將讓攻擊者可以同等的攻擊 iOS和 Android，只要有漏洞存在，就跟他們在傳統的運算環境上所作的一樣。行動作業系統上的嚴重漏洞就會和桌上電腦一樣，對攻擊者來說具備相同的重要性、吸引力和價值，也會對防禦者帶來相同的問題。有鑒於行動裝置相當程度的整合在工作和個人生活而且缺乏管理，後果甚至可能更令人憂心….

＠原文出處：My iPhone is like a Shield of Steel

2014年 Android上的新HTML5 封裝惡意軟體上升 ,近 50%偽裝成遊戲軟體

2015 年 01 月 14 日2015 年 01 月 14 日趨勢科技 TrendMicro

隨著全球資訊網協會（W3C）完成了HTML5的標準制定，可以預期會在不久的將來看到許多新 HTML5 網頁應用程式出現。想到網頁應用程式的平台獨立特點，趨勢科技也預測HTML5會加速將網頁應用程式重新封裝成行動惡意軟體。

快速一覽 HTML5 Android應用程式

根據趨勢科技的監測，2014年出現在Android上的新 HTML5 封裝應用程式數量和2013年相較起來增加了200%。跟在2012年的原始數量比起來更是高達600%。

圖1、Android上新HTML5封裝應用程式從2012年至2014年的分佈圖

我們注意到 HTML5 封裝的惡意軟體或潛在有害程式（PUA）的數量也在上升。這些行動惡意軟體/潛在有害程式中，有幾乎 50% 偽裝成遊戲軟體。

圖2、Android上新HTML5封裝惡意軟體/潛在有害程式從2012年到2014年的分佈圖

一個行動惡意軟體/潛在有害程式的例子是偽裝成 Tiny Rifles 的遊戲應用程式（套件：com.html5.game2），一個HTML5遊戲。這個假遊戲會透過瀏覽器載入HTML5遊戲，但也注入侵入性廣告軟體SDK到程式碼中。這個惡意應用程式已經從Google Play上移除。趨勢科技將其偵測為潛在有害程式（PUA）。

圖3、假Tiny Rifles遊戲

繼續閱讀

Android同源政策漏洞攻擊,未經同意幫你在Facebook按讚,加朋友,加入粉絲頁…

2015 年 01 月 13 日2015 年 01 月 13 日趨勢科技 TrendMicro

趨勢科技在幾個月前討論過Android同源政策（Same Origin Policy）漏洞，我們後來發現它比預想中還要更廣泛地出現。現在，在趨勢科技和Facebook合作下，發現有攻擊在積極地利用此一漏洞，我們相信其所使用的程式碼是基於公開的Metasploit程式碼。

此次攻擊針對Facebook使用者，透過一特定Facebook網頁上的連結來導到惡意網站。此網頁包含混淆處理過的JavaScript程式碼（見圖1），試圖在內部框架中載入一個Facebook網址（如圖2）。使用者只會看到空白頁面，因為網頁語法已經透過div標籤來設成不顯示任何東西（圖3），而內部框架的大小僅有一個像素（圖4）。

圖1、打開Facebook網頁內的惡意軟體程式碼片段

圖2、Facebook網頁的相應內容

繼續閱讀