假 Viber 通知:”你有新語音留言!”點選後當心信用卡費暴增,電話通聯紀錄走光,還附贈成人網站

趨勢科技注意到偽裝成來自跨平台網路電話及即時通訊軟體 Viber 的垃圾郵件數量在急遽地增加。這個應用程式也有電腦版,讓使用者可以使用免費電話和訊息。這封電子郵件通知收件者他們的帳號內有一封語音留言。

圖1、垃圾訊息樣本

 

電腦和手機上的不同行為

在電腦上的感染行為非常簡單:點入內嵌的連結會導致下載被偵測為BKDR_KULUOZ.VLU的後門惡意軟體到系統內。

然而,在行動裝置上打開電子郵件的收件者經歷了不同的結果。它不會下載任何惡意軟體,而是將使用者重新導到不同的網站,像是一個隨機網址、搜尋引擎甚或是官方應用程式商店。

行動使用者有時會被重新導到一個串流媒體網站。調查顯示此網站已經跟可疑活動連結。比方說,該網站會秘密地去對使用者在註冊過程中必須提供的信用卡號碼收費。一些使用者會在點入「Flash Player」更新廣告時被導到該網站。

圖2、使用者有時會被重新導到一個串流媒體網站

 

基於行動作業系統的重新導向

更值得注意的是其重新導向結果也取決於設備的作業系統。Android 使用者被重新導到Google Play上的「GO桌面EX」應用程式。Apple 使用者被重新導到 iTunes 網站上的一個中國遊戲應用程式。要特別指出的是,這些應用程式都並非惡意程式。

圖3和4、使用者有時會被重新導到 Google Play和 iTunes

Continue reading “假 Viber 通知:”你有新語音留言!”點選後當心信用卡費暴增,電話通聯紀錄走光,還附贈成人網站”

語音釣魚(Vishing):這是什麼?如何預防?

作者:David Fu (趨勢科技產品經理)

 身在今日網路連線 (及網路威脅) 全天候 7 天 24 小時不打烊的時代,很難不讓人想起過去用電話溝通的「舊時代」實在是安全多了。只可惜,現在連電話也不安全了。有越來越多的駭客都開始使用所謂的「語音釣魚」(vishing) 來攻擊使用者。事實上,我就曾經遇到過語音釣魚:有一次我接到一通假銀行行員打來的電話,說我的帳號因為出現異常交易而即將遭到凍結,要我打某一個電話號碼。還好我沒有上當,但使用者如果不夠機警,就很可能會。

語音釣魚 Vishing 是什麼?如何預防?

什麼是語音釣魚 (Vishing)?

語音釣魚是網路釣魚(Phishing)的電話版,Vishing 這個詞是從 voice (語音) 加 phishing (網路釣魚) 這二個字組合而來。受害者可能直接接到歹徒的電話,或者可能收到一封邀請函 (透過電子郵件或語音郵件),請受害者打電話到假的客服中心來解決某個問題。一旦受害者撥打電話,自動語音系統就會請受害者在電話上輸入自己的帳號、PIN 碼或密碼,有時,歹徒也會假藉確認身分的理由向受害者詢問一些個人資料。

對歹徒來說,語音釣魚的流程共有三個步驟。第一步驟是「挑選」對象。歹徒會撰寫一些程式來自動撥號給許多人,就像許多大量散布的網路釣魚(Phishing)一樣布下天羅地網,期望能夠抓到幾個不夠警覺的銀行客戶。攻擊者可能下載一些軟體,讓他們在受害者的來電顯示某個號碼,這樣他們就能輕易假冒某銀行的來電。

Continue reading “語音釣魚(Vishing):這是什麼?如何預防?”