Android比特幣(Bitcoin)錢包有被順手牽羊風險的漏洞

地下經濟/美金/錢

一篇bitcoin.org上的文章警告使用Android錢包的比特幣(Bitcoin)擁有者一個嚴重的底層漏洞,可能會讓他們的錢包對小偷大開方便之門。

這篇文章表示「一個Android的底層元件」包含著讓Android比特幣錢包擁有者有被順手牽羊風險的漏洞。而比特幣(Bitcoin)錢包應用程式開發者Mike Hearn發文到比特幣開發者郵件群組表示,確切元件是Android所使用的Java class SecureRandom

這樣的影響可能要比比特幣(Bitcoin)錢包來得更深遠的多。如果Mike的說法正確,那「所有」Android平台上所生成的私密金鑰在加密方面都很薄弱,需要加以「更新」,也就是用禮貌的方式來說需要「刪除並重新建立」。對於那些比特幣錢包使用者來說,這也表示會產生一個新地址,並將所有的錢送回給自己。

目前還沒有證據顯示這漏洞真的已經遭受攻擊,已經有好幾個比特幣使用者回報遭到竊取,可能跟這漏洞有關。因此,對於那些在行動設備上使用比特幣錢包的使用者,讓我們希望解決亂數產生問題的更新應用程式可以及時推出。關於受影響應用程式的詳情可以在bitcoin.org的部落格文章內看到。

至於這Android底層問題如何影響其他依賴加密的應用程式,和如何將根本解決修補程式推送到這令人頭痛的碎片化生態系也是非常值得關切。隨著越來越多應用程式和金錢有關,以及我們在行動設備上不斷增加的個人資料,這類性質的漏洞很引人注目,也非常吸引現今的網路犯罪份子。

 

@原文出處:Android – Bitcoin vulnerability – Exploit in the wild.
2013/07/PCCfans540.gif

行動網路釣魚攻擊不僅要網銀登入資料,還要求上傳身分文件

趨勢科技在今年八月初討論了關於網路犯罪分子使用一個廣為人知的Android的漏洞來攻擊行動網路銀行應用程式的使用者。這一次,我們發現一起行動網路釣魚(Phishing)攻擊,不僅會試圖竊取使用者的登入資料,還會要求受害者上傳他們的身分文件。

手機 Mobile

這起網路釣魚攻擊活動跟之前的攻擊類似:偽造了行動網路銀行登入頁面,使用和原本銀行網站非常相似的網址。

儘管非常相似,不過也有些看得到的差異,比方說對SSL協定的支援。這釣魚網站並不會出現安全符號,也沒有使用HTTPS://協定,通常這是用來識別安全網站的方法。外觀上也有些看起來不同的地方:

 

圖一、合法網站對比偽造網頁

 

釣魚網頁會要求使用者的登入資料,還不僅如此,輸入登入資料之後,使用者會被導到另一個偽造網頁,詢問他們的電子郵件地址和密碼。這大概是為了當使用者試圖透過變更登入資料來取回帳號時,幕後的網路犯罪份子就會得到通知,因此仍然可以存取該帳號。

圖二、要求電子郵件登入資料的釣魚網頁

 

此時騙子還沒有滿足於所取得的資料,還會將使用者導到另一個偽造網頁,要求使用者上傳他們的身分文件掃描圖檔。

 

圖三、要求身分文件圖檔的釣魚網頁

  繼續閱讀

《兩則最近瘋傳的病毒》 “被偷拍的是你麼”手機簡訊 / facebook 流傳的長髮美胸女孩圖

兩則中文簡訊別點:

看到這張圖不要點

don't click1

 

如果你有安裝PC-cillin 2013雲端版,則會出現以下危險連結的警告:

fb scam

♦不小心點了連結嗎? 立即免費試用下載 PC-cillin 雲端版,掃毒一下!!

 

被偷拍的是你麼收到這簡訊不要點連結(夾帶手機病毒)

SMS

✓趨勢科技行動安全防護 阻擋惡意連結 免費下載試用
▼ https://www.trendmicro.com.tw/edm/Tracking.asp?id=3120&name=20130813

✓看相關影音新聞(中視新聞)
https://youtu.be/-DmHJRjKIDQ

 提醒:

  • 這隻病毒在安裝 app 後,小額付費立即生效,為了安全起見,請致電你的電信公司,停止小額付費服務,並請電信公司客服查看是否有該筆不屬於您的消費,請其取消,以策安全

2013/07/PCCfans540.gif

PC-cillin 2013雲端版跨平台同時支援Win、Mac及Android手機與平板,立即下載試用

還不是趨勢科技粉絲嗎?想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚加入粉絲,各種粉絲專屬驚奇好禮,不定期放送中

◎ 歡迎加入趨勢科技社群網站
   

 

網路危機~半年內 Android 增加了350,000個惡意應用程式

短短半年間Android增加了350,000個惡意應用程式,這是之前花了三年才達到的數字。

網路銀行威脅數量增加了近三分之一。

行動平台、設備和應用程式上的威脅在過去這幾年有著大幅成長,但在這一季,它們開始全速地前進。網路犯罪分子已經發現更加複雜的方式來繞過行動安全,而且不再只是利用惡意應用程式而已。

在去年年底,趨勢科技發表了我們對二〇一三年的預測,其中最令人注目的是斷言了行動惡意軟體會在今年底突破一百萬大關。在當時,它可能被認為這預測只是個行銷噱頭,但是事實和數據都不幸的指出此一預測即將成真。在第一季結束時,我們已經來到了一半的數字,而到了六月底,我們已經收集到了718,000個惡意和高風險的Android應用程式。

如果你看一看這些數字,可以很容易地發現Android惡意軟體數量不僅只是在增加,而且還在不斷地加速。在僅僅六個月內,Android惡意軟體的數量增加了350,000個,這是之前花了三年才達到的數字。

Android更新遲緩,使用者面臨嚴重漏洞

到現在為止,大多數應用程式都還是以打包成木馬程式的方式出現,主要針對在加值服務濫用上,好讓犯罪份子獲取利益,也還是透過應用程式商店的方式來散播。但是透過漏洞攻擊包來派送惡意軟體到行動平台的進化已經出現了,我們看到了被稱為「master-key」的漏洞,意味著已安裝的合法應用程式可能會被攻擊者偷偷的更換,OBAD惡意軟體也利用一個漏洞來取得Android設備上root和admin的權限,讓問題變得更加嚴重。只花了幾個禮拜的時間,就讓「master-key」這漏洞從概念證明變成現實

 

 

Android的「Master Key」漏洞證明網路犯罪份子可以利用它來將原有的應用程式更新成惡意的應用程式。而另一方面,多組件惡意程式 – OBAD會攻擊管理漏洞,進行複雜的隱形和散播行為。

有鑑於Android緩慢的更新流程,想修補這些嚴重漏洞已經成為了頭痛的事情。 Android的碎片化問題讓安全修補程式在到達使用者前需要先經過緩慢的製造商開發流程。

雪上加霜的是,Android上的惡意應用程式和高風險應用程式雙雙地持續打破紀錄,本季來到了718,000這數字。此作業系統的使用者可以預見到網路犯罪分子還會繼續破紀錄下去。在短短半年間增加了350,000個惡意應用程式,這是之前花了三年才達到的數字。

 

 

 

 

 

 比較Android和Windows惡意軟體的時間軸

 

本季的手機資安事件肯定會造成長久的安全問題。行動體驗伴隨著大量人的因素參與讓它變得更糟,形成了許多災難性的不安全習慣。

網路銀行惡意軟體,更多全新威脅

跟上季相比,本季的網路銀行威脅數量增加了近三分之一。這些威脅的受害者大部分來自美國、巴西、澳洲和法國。

許多業界內知名的大威脅都以新的劇本和伎倆重新推出。看看那些地下市場,專家們看到惡意軟體工具包隨著時間而降價。有些像是SpyEye甚至會在買購買其他知名工具包時免費附送。黑洞漏洞攻擊包(BHEK)採用了新的FAREIT惡意軟體變種,它會竊取檔案傳輸協議(FTP)憑證和任何目標電腦上的個人資料。像是Safe的針對性攻擊活動也在持續地攻擊企業端伺服器應用程式,像是Plesk、Ruby on Rails和ColdFusion等有可被攻擊的漏洞。社交工程威脅現在將目標放在像Digsby的多帳號存取服務,並利用許多部落格平台做成假的串流網頁。 繼續閱讀

美國 BlackHat 大會上討論的三個行動漏洞:Android的「master key」漏洞,SIM卡和iPhone充電器漏洞

雖然大部分行動威脅都是以惡意或高風險應用程式的形態出現,行動設備還是會被其他威脅所擾。比方說三星Galaxy設備上所出現的臭蟲和OBAD惡意軟體可以利用漏洞來提升權限。不幸的是,這些並不是行動用戶所需要警惕的唯一漏洞。

就在最近的美國BlackHat大會上,有三個漏洞被討論著:Android的「master key」漏洞,SIM卡iPhone充電器的漏洞。

「master key」漏洞最初被報導會影響99%的Android行動設備。這和Android應用程式如何被簽章有關,可能會讓攻擊者不用開發者的簽章金鑰就可以更新已安裝的應用程式。利用這漏洞,攻擊者可以將正常應用程式更換成惡意軟體。當我們的研究人員發現一起攻擊利用這漏洞的去更新並木馬化銀行應用程式。我們親眼看到這個影響會有多大

另一方面,第二個行動設備弱點是多數SIM卡所用的舊加密系統。想利用這漏洞,攻擊者只需發送會故意產生錯誤的簡訊。結果就是SIM卡會回應包含56位元安全金鑰的錯誤代碼。這金鑰可以讓攻擊者用來發送簡訊給設備,以觸發下載惡意Java程式,可以用來執行一些惡意行為,像是發送簡訊,監控手機位置。

跟「master key」漏洞不同的是,SIM卡漏洞可能會影響更多的使用者,因為它並不限定作業系統。此外,由於所述威脅是因為使用舊的解密方式,更新SIM卡以使用較新解密功能對電信業者來說可能會被認為不切實際而昂貴。 繼續閱讀