Android (安卓) - 資安趨勢部落格

Android用戶,你以為按下的是“確定”嗎? 當心Toast 覆蓋攻擊的隱藏按鈕,默默接管手機權限!

2017 年 09 月 15 日2017 年 09 月 15 日趨勢科技 TrendMicro

Android的Toast漏洞覆蓋（Overlay）攻擊, 將圖像疊加在其他應用程式或行動裝置的控制和設定部分。

安全研究人員警告使用者關於可能導致Toast覆蓋（overlay）攻擊的Android漏洞。這種攻擊可能會誘騙使用者安裝惡意軟體，將圖像疊加在其他應用程式或行動裝置的控制和設定部分。

隱藏按鈕可以用來安裝惡意資料竊取應用程式，甚至是劫持螢幕和並鎖住使用者的勒索病毒

覆蓋攻擊是指惡意應用程式會在其他執行中的視窗或應用程式上再繪製一個視窗。漏洞攻擊成功可以讓攻擊者欺騙使用者去點擊惡意視窗。

這是什麼意思？比方說看似正常的“確定”或“繼續安裝”圖示可以顯示在偷偷取得權限的隱藏按鈕上。它也可以用來安裝惡意資料竊取應用程式，甚至是劫持螢幕和並鎖住使用者的勒索病毒。

[延伸閱讀：CVE-2017-0780：阻斷服務漏洞可能導致Android訊息應用程式崩潰]

這個覆蓋攻擊做了什麼？

覆蓋攻擊本身並不新，而且Android作業系統內的解決方案讓它難以進行。要加以利用的惡意應用程式必須先取得使用者許可，並且必須從Google Play安裝。

但最近的漏洞提供了能成功執行覆蓋攻擊的方法。它利用的是Toast的漏洞，Toast是Android用來在其他應用程式顯示通知和訊息的功能。該分析還借鑒了電機電子工程師協會（IEEE）在最近的黑帽（Black Hat）安全大會所發表的“Cloak and Dagger”研究報告。該研究展示如何利用Android輔助功能服務的警告和通知功能來進行覆蓋攻擊。

[延伸閱讀：Android 手機勒索病毒再進化-更大、更壞、更強!]

所有版本的Android都有此漏洞，Toast甚至可以覆蓋整個螢幕

所有版本的Android都有此漏洞，除了最新的Oreo。Android Nougat有個預防措施，就是Toast通知只能顯示3.5秒。但是這可以透過將通知循環顯示來繞過。這代表攻擊者可以想蓋住惡意內容多久都可以。此外，Toast不需要與Android其他視窗有相同的權限，甚至可以利用Toast來覆蓋整個螢幕。

[延伸閱讀：GhostClicker廣告軟體是一個幽靈般的Android點擊詐騙]

你能做什麼？保持作業系統和應用程式更新，只從官方Google Play或可信賴的來源下載

此漏洞（CVE-2017-0752）的修補程式在最近以2017年9月Android安全通告的一部分發布。研究人員指出他們尚未看到真實的攻擊出現，但這並不代表你不需要更新你的行動裝置。使用此方法的惡意應用程式,所需要的只是安裝在你的行動設備上,並取得輔助功能權限。繼續閱讀

Android 銀行木馬再進化,冒充影片播放 app, 竊取銀行憑證和信用卡資料,還可繞過HTTPS安全連線

2017 年 09 月 13 日2017 年 09 月 11 日趨勢科技 TrendMicro

銀行木馬 EMOTET和Trickbot 在沉寂一段時間後再度死灰復燃，(趨勢科技將它們分別偵測為TSPY_EMOTET和TSPY_TRICKLOAD)。這些銀行病毒都是經由社交工程（social engineering ）惡意垃圾郵件或網路釣魚（Phishing）郵件散播。安全研究人員指出它們還會利用蠕蟲、下載其它惡意軟體以及模仿銀行網域等方式散播。

EMOTET能夠“竊聽”經由網路連線傳輸的資料,以繞過HTTPS安全連線，並躲避傳統的偵測技術

EMOTET首次現身於 2014年: 假冒銀行轉帳通知!!利用網路監聽竊取資料跟其他利用惡意網頁來竊取銀行資料的銀行惡意軟體不同，EMOTET能夠“竊聽”經由網路連線傳輸的資料。這讓攻擊者可以繞過像HTTPS這樣的安全連線，並且躲避傳統的偵測技術。在2016年12月，趨勢科技發現它再度出現在相同地區，還包括了熟悉的舊資料竊取軟體DRIDEX和ZeuS/ZBOT。

最近再度出現的EMOTET還會植入DRIDEX病毒。垃圾郵件內的惡意連結會將受害者導向下載一個Word文件，內嵌會觸發PowerShell腳本的Visual Basic程式碼。這腳本會下載並執行EMOTET及其他惡意軟體，其中最常見的是DRIDEX，放在各攻擊者所擁有的網域。

Trickbot銀行木馬偽裝成登錄表格的Word文件,實際上嵌入了會從網路犯罪分子的命令與控制（C&C）伺服器下載Trickbot的惡意巨集

Trickbot銀行木馬是前輩DYRE/Dyreza惡意軟體的接班人，它會利用以假亂真的銀行網頁。也透過夾帶HTML檔案的惡意垃圾郵件散播。這些HTML檔案會下載偽裝成登錄表格的Word文件,實際上嵌入了會從網路犯罪分子的命令與控制（C&C）伺服器下載Trickbot的惡意巨集。繼續閱讀

叫車app也有山寨版?! 冒充叫車應用程式的 FakeToken 木馬再現身

2017 年 08 月 25 日2017 年 08 月 25 日趨勢科技 TrendMicro

叫車程式會儲存及使用個人金融資訊和身分資料,FakeToken 變種木馬會即時監控 Android 裝置上所安裝的這類應用程式並試圖偷取相關資料。當使用者執行某個叫車程式時，FakeToken 就會顯示一個網路釣魚畫面並將它重疊在原本的應用程式畫面上，騙受害者輸入信用卡資料。而且網路釣魚畫面長得跟就像原本的應用程式一樣，包括標誌和配色等等。此外，這一版的 FakeToken 還會攔截手機收到的簡訊，監控手機通話並錄音

趨勢科技提醒您,請勿在網路上分享過多個人資訊，同時也盡可能減少您提供給應用程式的權限。還有，務必小心一些不請自來的簡訊

您是否正準備使用您最愛的叫車程式來規劃您接下來的路線呢？請注意，如果該程式曾經不只一次向您要求輸入信用卡資料，那這很可能是個惡意程式。

資安研究人員發現，目前有個 Android 叫車應用程式其實是 FakeToken 銀行木馬程式所假冒 (趨勢科技命名為 ANDROIDOS_FAKETOKEN)。除此之外，該版本的 FakeToken 還會冒充成一些交通罰單或飯店和機票訂位的支付程式。繼續閱讀

Google Play 上 340款應用程式,嵌有GhostClicker惡意廣告機制

2017 年 08 月 23 日2017 年 08 月 22 日趨勢科技 TrendMicro

趨勢科技在Google Play上發現有多達340個應用程式夾帶會自動點擊廣告的軟體GhostClicker（ANDROIDOS_GHOSTCLICKER.AXM），其中一個“阿拉丁冒險世界（Aladdin’s Adventure’s World）”被下載了500萬次, 而且評價高達4顆星。這些含有廣告軟體的應用程式涵括：休閒遊戲、設備效能工具（如清理工具和加速工具）和檔案管理程式、QR和條碼掃描程式、多媒體錄放程式、設備充電和GPS/導航相關應用程式。這些程式出現在台灣、東南亞及巴西、日本、俄羅斯、義大利和美國。

雖然大多數應用程式都已經下架，到2017年8月7日止還有101個夾帶GhostClicker的應用程式可以下載。

GhostClicker 會將自己隱藏在Google行動服務（GMS，Google最熱門應用程式和應用程式介面（API）組合）,也會隱藏在Facebook廣告的軟體開發套件（SDK）。將自己嵌入到這兩個服務，皆以“logs”為名，可能是怕偽裝成合法應用程式元件比較容易引起懷疑。

《阿拉丁的冒險世界》被發現嵌有GhostClicker惡意廣告機制，下載次數超過500萬次，目前已被Google Play下架。 — 圖1:《阿拉丁的冒險世界》被發現嵌有GhostClicker，下載次數超過500萬次

GhostClicker企圖躲避撒箱偵測

繼續閱讀

誰偷打電話? Android用戶當心SonicSpy 間諜程式遠端控制你的手機!

2017 年 08 月 18 日2017 年 08 月 28 日趨勢科技 TrendMicro

目前，資安研究人員已發現有超過 1,000 個應用程式感染了 SonicSpy 間諜程式 (趨勢科技命名為 ANDROIDOS_SONICSPY.HRX)，這是一個可讓駭客操控 Android 裝置的惡意程式。

SonicSpy 是以熱門即時通訊軟體 Telegram 的開放原始碼為基礎所開發出來，其開放原始碼的用意就是希望讓大家能打造屬於自己的通訊平台。但 SonicSpy 卻在該軟體當中加入間諜與遠端遙控功能，然後換個名字將應用程式上架，例如：Soniac、Hulk Messenger、Troy Chat 等等。

目前感染 SonicSpy 的應用程式數量已超過 4,000 個，顯示 SonicSpy 背後應該有一個自動化開發流程。此外，資安研究人員也指出，這些間諜程式也會透過第三方應用程式市集和網路釣魚簡訊來散布。網路釣魚簡訊 (稱為 SMS phishing 或 SMiShing) 同樣也是一種網路釣魚攻擊，它會利用社交工程誘餌來誘騙簡訊接收者點選會下載惡意程式的連結。

[TrendLabs 資安部落格文章：Android 後門程式 GhostCtrl 可暗中錄音、錄影，而且還不只這樣…]

竊聽、偷拍、撥打高費率付費服務電話….SonicSpy 具備 73 種遠端遙控指令

SonicSpy 具備 73 種遠端遙控指令，其中包括：