重大資安事件 - 資安趨勢部落格

會竊聽電話的 Hacking Team RCSAndroid 間諜工具

2015 年 07 月 24 日2015 年 09 月 15 日趨勢科技 TrendMicro

RCSAndroid 程式碼的外洩已讓它成為一項公開的商業間諜利器。行動使用者最好隨時掌握這項新聞的最新發展，並且隨時留意裝置是否有遭到監聽的跡象。可疑的跡象包括系統出現異常行為，例如：不正常重新開機、裝置上出現一些莫名其妙的應用程式、即時通訊軟體突然當掉等等。

一旦裝置遭到感染，這個後門程式必須有系統管理員 (root) 權限才能移除，使用者可能需要送回原廠來請他們重刷韌體才行。

繼新聞報導指出 iOS 裝置可能遭到 Hacking Team 間諜程式監聽之後，現在 Android 裝置也將遭殃。趨勢科技在 Hacking Team 資料外洩的檔案當中發現其開放原始碼惡意程式套件 RCSAndroid (Android 遠端遙控系統) 的程式碼，這是該公司所販賣的一項間諜工具。

RCSAndroid 工具的程式碼是至今曝光的所有 Android 惡意程式當中寫得最專業、最複雜工具之一。其程式碼的曝光，讓網路犯罪集團又多了一項新的利器可強化其間諜行動。

根據外洩的程式碼看來，RCSAndroid 應用程式具備下列10 個間諜能力：

透過「screencap」這個指令擷取螢幕抓圖，並可直接讀取螢幕緩衝區內容。
監看剪貼簿的內容。
蒐集 Wi-Fi 網路與各種網路帳號的密碼，如：Skype、Facebook、Twitter、Google、WhatsApp、Mail 及 LinkedIn。
利用麥克風錄音。
蒐集簡訊、多媒體簡訊與 Gmail 訊息。
蒐集定位資訊。
蒐集裝置資訊。
利用前、後鏡頭拍照。
蒐集聯絡人，解讀即時通訊訊息，如：Facebook Messenger、WhatsApp、Skype、Viber、Line、WeChat、Hangouts、Telegram 以及 BlackBerry Messenger。
攔截系統的 mediaserver 服務，即時錄下任何行動電話與 App 的語音通話。

繼續閱讀

分析 Pawn Storm 的 Java 零時差漏洞 – 故技重施

2015 年 07 月 22 日2015 年 10 月 14 日趨勢科技 TrendMicro

過去，Java 一向是網路犯罪集團最愛的漏洞攻擊目標，不過近年來，這樣的情況已經不在。最近已修正的 Pawn Storm 攻擊行動 Java 零時差漏洞事實上是 Java 近兩年來被發現的第一個零時差漏洞。

這有一部分的原因要歸功於 Java 安全措施的強化。正如 Oracle 在 Java 首頁上所言，現在的主流瀏覽器在遇到過時的 Java 外掛程式時都會自動將它停用。此外，2014 年 1 月發表的Java 7 Update 51即限縮了可執行的 Applet 類型。在預設情況下，自我簽署和未經簽署 (也就是駭客最可能使用) 的 Applet 將無法在瀏覽器上執行。此外，JRE 還對所有的 Applet (不論是否簽署) 提供了點按執行 (click-to-play) 的功能。這兩點加起來，大大得降低了 Java 平台對駭客的吸引力。

既然這個 Java 零時差漏洞 (CVE-2015-2590) 現在已經修正，我們就來說明一下它的相關技術細節。此漏洞由兩部分組成：第一部份是略過 Java 的點按執行保護機制。這部分我們不能討論，但我們可以談談另外一部分。如前面所說，這個漏洞在最新的 Java 版本 (Java 8 Update 51) 當中已經獲得修正。

Java 提供了一個叫做 ObjectInputStream 的類別來執行反序列化 (decentralize) 作業，以便將記憶體緩衝區內的資料轉成物件。這個反序列化緩衝區當中包含了物件的類別資訊和檔案化的資料。如需該類別的更多詳細資訊，請參閱Java 官方文件。繼續閱讀

Adobe Flash 就像煙癮一樣,難以戒掉?

2015 年 07 月 17 日2015 年 07 月 17 日趨勢科技 TrendMicro

上星期對 Adobe Flash 來說日子真是難過。 Hacking Team公司外洩的 440GB 電子郵件資料已成為駭客挖掘資安漏洞的寶藏。過去七天，光是 Flash 就被發現了三個不同的漏洞：

目前，只有第一個漏洞已經修正。Adobe 承諾會在本週之內修正另外兩個漏洞，但這仍難保未來不會有其他該平台的漏洞出現。因此我們不禁要問：我們是否要趁現在乾脆放棄使用 Adobe Flash？

Flash 一直是資訊安全的夢魘，多年來，趨勢科技在這部落格上已經報導過各種Flash 的漏洞。每一次，除了小心避開一些不良網站、停用 Flash 外掛程式、然後等待 Adobe 釋出更新之外，消費者能做的其實很有限。

因 Hacking Team 外洩事件而曝光的三個零時差漏洞已經突顯出 Flash 多麼容易存在著漏洞。假使像 Hacking Team 這麼小的公司 (員工總共 40 人) 都能挖到這麼重大的漏洞，那想像一下其他一些由政府在背後資助的團體將有多大能耐。先前我們只能猜測情況大概多糟，但現在我們已經清楚看到它有多危險。

在理想的世界裡，就 Flash 現在的狀況來看，真的必須淘汰。不是改用新的網站技術 (如 HTML5)，就是叫 Adobe 想辦法讓 Flash 變得安全。不過，這兩件事大概都不會發生。

Flash 就像煙癮一樣：即使我們知道它不好，但還是難以戒掉。儘管有風險，人們還是會繼續使用，因為光是安全的理由還不足以讓人放棄它。就網站的觀點，他們還是會繼續使用 Adobe Flash，因為成本較低，使用者體驗也較優。對使用者來說，因為他們經常上的網站仍在使用 Flash，所以還是少不了它。不論開發人員和使用者都得依賴 Flash，因此可以確定 Adobe Flash 還會繼續存活一段時間。

那麼，我們可以做些什麼？ 繼續閱讀

Hacking Team 使用 UEFI BIOS Rootkit 遠端遙控代理程式,重灌或換硬碟也沒用！

2015 年 07 月 17 日2015 年 07 月 17 日趨勢科技 TrendMicro

Hacking Team 資料外洩事件曝光的資料經過解析之後，目前又有重大發現：Hacking Team 會使用 UEFI BIOS Rootkit 來讓其遠端遙控系統 (Remote Control System，簡稱 RCS) 代理程式常駐在受害者的系統。也就是說，就算使用者將硬碟格式化並重灌作業系統，甚至再買一顆新的硬碟，其代理程式還是會在進到 Microsoft Windows之後自行重新安裝,允許客戶自遠端監控或掌控目標裝置。

他們甚至針對 Insyde BIOS (一個知名的 BIOS 廠商) 撰寫了一套專用程序。不過，同樣的程式碼在 AMI BIOS 上或許也能運作。

在 Hacking Team 資料外洩的一份簡報投影片當中宣稱，要成功感染目標系統必須實際接觸到目標系統，但我們還是不排除有遠端安裝的可能性。一種可能的攻擊情況是：駭客想辦法趁機操作目標電腦，將電腦重新開機以進入 UEFI BIOS 介面，然後將 BIOS 複製出來並且在 BIOS 中裝入 Rootkit，接著將 BIOS 更新回去，最後再將系統重新開機。

趨勢科技發現 Hacking Team 還針對其 BIOS Rootkit 的使用者開發了一套輔助工具，甚至當使用者遇到不相容的 BIOS 時還提供技術支援。

圖 1：Hacking Team 還提供技術支援。

Rootkit 的安裝過程如下：首先將外部的三個模組複製到已修改的 UEFI BIOS 中的一個檔案磁卷 (file volume，簡稱 FV)，例如在 UEFI 介面下從 USB 隨身碟複製。第一個模組是 Ntfs.mod，可讓 UEFI BIOS 讀/寫 NTFS 檔案。第二個模組是 Rkloader.mod，用來攔截 UEFI 的事件並且在系統開機時呼叫檔案植入模組 (dropper) 的函式。第三個模組是 dropper.mod，含有實際的代理程式，檔名為 scout.exe 或 soldier.exe。繼續閱讀

趨勢科技協助 FBI 破獲的駭客集團 Esthost/ Rove Digital，首腦面臨六年徒刑

2015 年 07 月 14 日2015 年 07 月 15 日趨勢科技 TrendMicro

Esthost/Rove Digital看起來是一個位在塔爾圖的正常 IT公司，一個每天早上都有人來上班的辦公室。但實際上，這個辦公室控制著數以百萬計，位在世界各地的中毒電腦，每年都可以靠這些「Botnet傀儡殭屍網路」,獲取數百萬美金的不法所得。首腦終於在美國聯邦法官面前對許多項指控認罪。將會在美國聯邦監獄裡待上最多六年。

2011年11月，趨勢科技協助 FBI 破獲史上最大殭屍網路: DNS Changer(域名系統綁架病毒)與數百萬美金的不法所得,透過被稱為「Operation Ghost Clock」的FBI行動，超過100台屬於Esthost/Rove Digital集團的伺服器被下線。這集團在紐約和芝加哥的資料中心被突擊，超過400萬名的受害者花了半年以上變更到非惡意的DNS伺服器。

在這破獲行動經過近四年之後，這網路犯罪集團的首腦Vladimir Tsastsin已經在美國聯邦法官面前對許多項指控認罪。將會在美國聯邦監獄裡待上最多六年。

假防毒軟體軟體是集團重要的收入來源之一

Esthost/Rove Digital騙局的運作原理其實相當簡單：植入DNS變更惡意軟體到使用者電腦上，將對熱門網域的查詢導向惡意伺服器。這讓攻擊者可以重新導向針對這些熱門網域的流量，進行難以偵測但卻有極大利潤的攻擊，像是劫持搜尋結果和置換網站廣告。除此之外，假防毒軟體軟體也是這集團重要的收入來源。

攻擊者會對這些方法青睞有加是因為它們較難被偵測，而且可以維持很長一段時間。然而，該集團的活動早在2006年就被趨勢科技所察覺；自那時起我們就開始追蹤他們的活動。

趨勢科技是加入終結Esthost/Rove Digital行動的唯一防毒軟體公司。

在2009年，愛沙尼亞和美國的執法單位開始與其他組織共同行動來終結Esthost/Rove Digital；趨勢科技是加入此一聯合行動的唯一防毒軟體公司。

趨勢科技的研究報告 – 破獲Rove Digital將我們對這一集團的了解總結在一份文件中。

趨勢科技的研究是破獲Esthost/Rove Digital的重要部分，對於將Tsastsin送入監獄是不可或缺的。