Android (安卓) - 資安趨勢部落格

大約有 6,000 個行動應用程式,仍然受到 Heartbleed 漏洞影響

2014 年 04 月 17 日2014 年 04 月 17 日趨勢科技 TrendMicro

大約有6,000個應用程式仍然受 Heartbleed漏洞到影響,我們看到有很大一部分生活類的應用程式受到 Heartbleed漏洞影響,這些應用程式包括了點餐、雜貨、設備、看書、優惠券、服裝、家具等等。也就是說，如果使用者透過其中一個受影響應用程式來點餐或買東西，跟訂單相關的資訊，像是使用者憑證和家裡地址，或更糟的是信用卡資料，都有可能被外洩。

內建的OpenSSL程式庫讓應用程式和Android 4.1.1也會受到Heartbleed影響

趨勢科技在之前的文章裡提到，行動應用程式也會受到Heartbleed漏洞的影響。這是因為行動應用程式可能會連上受漏洞影響的伺服器。不過看起來行動應用程式本身可能也會因為內建的OpenSSL程式庫而受此漏洞影響。

OpenSSL程式庫出現在Android 4.1.1和某些行動應用程式

們所擁有的資料顯示，雖然OpenSSL整合在Android系統內，但只有Android 4.1.1會受到Heartbleed漏洞影響。在此版本的設備上，任何會使用OpenSSL來建立SSL/TLS連線的應用程式都可能會受到影響，可能會被惡意份子用來從設備記憶體內擷取使用者資料。

然而，即使設備不是使用受影響的版本，也有可能因為應用程式本身而造成問題。我們在Google Play上發現了273個內建受影響版本的獨立OpenSSL程式庫，意味著這些應用程式可以在任何設備上受到危害。

在這份名單中，我們看到了去年最受歡迎的遊戲、一些VPN客戶端、一個安全應用程式、一個流行的影片播放程式、一個即時通應用程式、一個VOIP電話應用程式和其他許多軟體。正如你可能已經知道，OpenSSL程式庫被應用程式用來做為安全通訊之用。許多應用程式都來自知名的開發者。我們還發現此漏洞存在於舊版本的Google應用程式。

圖一、容易受到Heartbleed影響的包括那些極受歡迎的應用程式

這些應用程式會用靜態連結到有漏洞的OpenSSL程式庫，如下圖所示：

圖二、有漏洞的OpenSSL程式庫

如果應用程式所連上的遠端伺服器被入侵，那麼反向客戶端Heartbleed攻擊是有可能的。反向Heartbleed攻擊就會讓設備記憶體內容洩漏給攻擊者。該記憶體內容可能包含這些應用程式儲存在本地端的任何敏感資料。如果你使用有漏洞的VPN客戶端或VOIP網路電話應用程式來連上一個惡意服務，你可能會失去你的私鑰或其他憑證資料，那麼駭客就可以開始用來偽造你的身份和做其他不好的事情。繼續閱讀

新 Android 臭蟲讓手機變磚!!

2014 年 04 月 10 日2014 年 04 月 09 日趨勢科技 TrendMicro

建議不要從第三方應用程式商店下載軟體

趨勢科技最近讀到一個Android系統崩潰漏洞會影響Google的Bouncer服務。而令人擔憂地，這個漏洞也會影響到Android OS版本4.0及以上的行動設備。我們相信網路犯罪份子可能會利用這個漏洞來對Android智慧型手機和平板電腦進行實質性的損害。設備會進入無限重新啟動的迴圈。這可能會導致設備無法使用，其中一些可能就會「變磚」。

他們如何做到？

我們的分析顯示，第一次崩潰是因為視窗管理程式的記憶體損毀，這是應用程式用來控制給定螢幕位置和視窗外觀的界面。大量資料被放到Activity標籤，這是視窗都會有的視窗標題。

如果網路犯罪分子製造一個應用程式，內含具備巨大標籤的隱藏Activity，使用者根本不知道它會觸發這個漏洞。網路犯罪分子可以進一步地掩飾這漏洞，設定計時器來觸發會停止當前應用程式活動和打開隱藏活動的事件。當定時事件被觸發就會執行這漏洞，造成系統服務崩潰。這會停止行動設備的所有功能，並且該系統會被強制重新啟動。

更糟的情況是，當惡意軟體被設計成在設備啟動時自動執行。這樣會讓設備陷入無限重啟循環，無法再被使用。此時只有透過boot loader回復修補程序才可以解決，這代表所有儲存在設備內的資料（聯絡人、照片、檔案等）都會被刪除。

發現會崩潰一連串服務的臭蟲。

我們進一步的研究發現，除了WindowManager以外，PackageManager和ActivityManager也容易出現類似的崩潰漏洞。關鍵區別是當使用者設備安裝惡意漏洞攻擊應用程式就會馬上崩潰。請注意，這樣的漏洞攻擊應用程式並不需要任何特殊權限。

在AndroidManifest.xml檔案中，應用程式的標籤名稱可以在元素的「andoid:label」屬性設定，它可以是原始字串，而不只是字串資源的引用。在一般情況下，在AndroidManifest.xml聲明超長原始字串標籤的應用程式會無法安裝，因為Android Blender的交易緩衝區大小限制。但透過了ADB（Android Debug Bridge）這被許多第三方市場客戶端所使用的介面，就可以安裝這樣的應用程式，導致PackageManager服務立刻崩潰。繼續閱讀

Android客製化權限會洩漏使用者資料,上萬應用程式受此弱點影響

2014 年 04 月 08 日2014 年 04 月 07 日趨勢科技 TrendMicro

Anrdoid存取控制政策的關鍵部分是權限。要存取Android設備上的資源，應用程式需要請求並被授予特定權限。但是，除了作業系統所指定的權限外，應用程式可以定義自己的客製化權限。一般來說，這樣做是為了保護應用程式本身的功能或資料。

像這樣的客製化權限通常被定義在「Signature」或「signatureOrSystem」保護層級。這在Android開放原始碼專案（AOSP）文件內的定義為：

signature

當有應用程式要求此權限時，系統只會給於和宣告該權限的應用程式使用相同憑證的應用程式。如果憑證符合，系統會自動給予權限而不通知使用者或詢問使用者是否批准。

signatureOrSystem

當有應用程式要求此權限時，系統只會給於存在Android系統影像檔或是和宣告該權限的應用程式使用相同憑證的應用程式。請避免使用此選項，因為Signature保護層級應該足以滿足大多數需求，而且無論應用程式工作在哪裡都可以正常作用。signatureOrSystem權限只用在某些特殊情況，當有多個廠商內建應用程式到系統影像檔中，而且需要特別地去分享特定功能，因為它們是被一起建置的。

這讓Android開發者認為只有系統應用程式或擁有相同簽章的應用程式（可能是由同一個開發者所製造）才能夠存取這些權限。所以就可能不會加上額外的存取控制。但事實並非如此。

Android作業系統只用名稱來追蹤這些客製化權限。一旦權限被定義，其他的應用程式就無法進行修改。假設一個知名的應用程式「A」中用signature保護層級來定義權限permission-A用來保護自己的資料。但讓我們假設在安裝「A」之前，使用者就已經安裝了惡意應用程式B。如果B是設計來從應用程式「A」中竊取資料，它可以在「A」之前就先建立permission-A，然後應用程式「B」就有permission-A的權限。一旦應用程式「A」被安裝，「B」就擁有了能夠讀取應用程式「A」被保護資料的權限。

趨勢科技發現約有10,000個應用程式可能會受到此弱點的影響。我們不會透露有哪些應用程式有此弱點，但是趨勢科技快速檢查了有弱點應用程式後，包括了：

一個熱門的網路商店會洩露其網路瀏覽歷史記錄。
一個熱門的聊天應用程式會洩露其使用者的應用程式內購買。
一個熱門的社群網路可以透過其應用程式插入假訊息。

在存取他們的活動/接受器/服務/供應商時，開發者不應該完全依賴保護層級。作業系統有提供幾個像getCallingUid和getCallingPackage的功能，可以用來識別做出上述要求的應用程式，並且要加上必須的存取控制。

趨勢科技已經通知Google的Android安全小組這個問題。

@原文出處：Android Custom Permissions Leak User Data作者：Weichao Sun（行動威脅分析師）額外分析來自Veo Zhang

行動惡意程式App數量，突破 200萬！半年內數字翻倍

2014 年 04 月 01 日2014 年 04 月 02 日趨勢科技 TrendMicro

趨勢科技提醒用戶小心篩選App 並安裝有信譽的行動防護程式

【2014年4月1日台北訊】隨著行動裝置普及化，相關的惡意程式App也以驚人的速度不斷成長。全球雲端資訊安全領導廠商趨勢科技今日公布，就在惡意及高風險的行動裝置 App 程式突破100萬關卡後的半年內，該數字又翻了一倍、突破200萬支的大關！有鑑於此，趨勢科技再度呼籲行動裝置用戶，務必仔細篩選 App 程式、避免開啟不明的網址、刪除可疑的訊息，以及安裝有信譽的行動防護程式等，以保障自己在行動裝置上安全。需要行動裝置防護程式的民眾，可至Google Play下載免費「安全達人」App程式，除了可防護行動裝置的隱私與個資、防止釣魚、尋找遺失手機之外，還可找到經過資安認證的多元化遊戲，一舉數得。

趨勢科技資深技術顧問簡勝財表示：「光是 2013 一整年，我們就發現了100萬個新的Android 威脅，可以預見未來網路犯罪者勢必繼續覬覦行動裝置。而在行動裝置惡意程式剛屆滿十週年的現在，就已經突破200萬支的大關，可以預見未來行動裝置的防護重要性越來越高，用戶務必開始提高警覺、安裝行動防護程式以保障個資。」

圖 1：惡意及高風險的 App 程式數量，已突破二百萬關卡繼續閱讀

手機需要防毒嗎?

2014 年 03 月 10 日2014 年 03 月 26 日趨勢科技 TrendMicro

我在巴塞隆納參加 MWC 世界行動通訊大會時，我得一再向不同的人解釋為何今日手機也需要安全防護。我當時就想：「為何不乾脆趁我記憶猶新的時候將它寫成部落格呢？」

我可以指出專為 Android 平台所撰寫的新惡意程式數字多麼驚人。(<編按>請參考:半年內 Android 增加了350,000個惡意應用程式)
我也可以說明現在網際網路黑市上的現成工具套件，讓撰寫行動惡意程式是多麼輕鬆容易。
我甚至可以指出光是一台普通的智慧型手機，其運算效能就比幾年前的桌上型電腦還強得多。
<編按>請參考293,091 個Android惡意軟體,Windows花了十四年才達到這樣數量!

但這些其實都不重要，最重要也最殘酷的事實是：網路犯罪團體正試圖利用您的行動裝置來牟利，而且他們辦得到。

讓我換一種說法：您的行動裝置不僅用來收發電話和簡訊，您還會儲存一些敏感的資訊 (例如：Dropbox 雲端儲存、Evernote 筆記、通訊錄、電子郵件等等)。網路犯罪者不僅擁有技術，更有決心透過您的手機賺錢。一般來說，感染手機可能帶來的獲利管道包括：