APP - 資安趨勢部落格

跑步健身app Strava 路徑圖意外洩軍跡! 七習慣保護行動裝置

2018 年 02 月 23 日2018 年 08 月 02 日趨勢科技 TrendMicro

“與全世界運動愛好者交流”為定位的Strava 行動應運程式,號稱有數百萬名跑者與自行車手因為熱衷相同運動，而透過網路彼此交流聯繫。Strava 可以把iPhone 和 Android 手機變成跑步和騎車記錄系統,也能和 GPS 手錶和頭戴裝置搭配使用。這個號稱”全球最好的追蹤系統”,擁有強大的 GPS 定位技術，可記錄、分享用戶的運動路徑。但由於 Strava 的地圖資訊過於詳盡，可能讓使用該 app 的軍人不小心讓軍事基地等敏感資訊曝光。

根據一份報告指出，2017 年 11 月健身記錄應用程式 Strava 公布了一份其用戶能呈現出用戶所走過路徑地圖的熱區圖，其中包含了 10 億筆活動記錄、3 兆個經緯度定位點、13 兆個點陣像素，以及 10 TB 的輸入資料。但這個健身記錄應用程式卻也可能意外洩漏美國機密軍事基地、巡防及前線作戰基地 (FOB) 的位置。

美軍基地「清晰可辨並可在地圖上找到」

美國聯合衝突分析機構 (Institute for United Conflict Analysts) 創始會員 Nathan Ruser 率先在 Twitter 上批露此訊息。他指出，Strava 的熱區圖讓美軍基地「清晰可辨並可在地圖上找到」。不僅如此，Ruser 更找到了一個敘利亞境內的 Khmeimim 俄羅斯基地、土耳其軍隊巡防點、阿富汗前線作戰基地，以及士兵跑步健身路徑。Ruser 在 Twitter 上指出，基地位置曝光還不是唯一的令人擔心的問題。其中的「生活模式」資訊，才是這份熱區圖可能帶來的嚴重風險，因為許多人都未將資訊設為隱私。

根據 Strava 表示，使用者可根據其需求來調整隱私設定。例如，可在活動當中增加私密區域來隱藏使用者在某些區域開始或結束的活動 (如在家或在辦公室)，不讓其使用者看到。此外，還有一個選項可以關閉活動資料的匿名分享。

還可能擷取使用者姓名、檔案照片、心律資料等個資 繼續閱讀

拒絕傻當網路挖礦工！向擾人廣告說拜拜; iOS 11以上用戶免費下載Trend Micro Zero隱私至上瀏覽器

2018 年 02 月 12 日2018 年 02 月 12 日趨勢科技 TrendMicro

你是否覺得明明沒開幾個程式手機速度好像越來越慢或是電池常常發燙嗎？小心3C裝置已經成為幫助駭客賺取比特幣的挖礦工! 趨勢科技於一月份偵測到Coinhive 網頁式挖礦程式的偵測數量因某波惡意廣告行動突然成長3倍，駭客利用網路廣告服務 DoubleClick 來散布其惡意程式，受害地區包括日本、法國、台灣、義大利與西班牙。除了可能成為挖礦幫手外，追劇時常被跳出的廣告干擾 ? 或是上網時，對社群軟體、搜尋系統持續跳出推薦近期瀏覽過的商品小視窗感到煩人?

《延伸閱讀》Youtube 看影片電腦變好慢?當心駭客正在挖礦賺外快!

趨勢科技為打造隱私的網路空間，最新推出 Trend Micro Zero 瀏覽器，可阻擋內嵌挖礦程式，降低裝置的電量耗損，避免消費者在不知情下成為黑客挖礦的幫手！除此之外，許多消費者為避免被廣告騷擾，選擇使用「無痕瀏覽」保護隱私，但其實在瀏覽網頁時，商家可能已經悄悄得到個人資訊消費者卻不知情，Trend Micro Zero 瀏覽器可保護消費者在瀏覽網頁、上網追劇時，不被網站側錄資料留下行為記錄，同時免遭垃圾廣告騷擾，提供網路使用者零風險的隱私防護。

目前Trend Micro Zero 瀏覽器提供消費者免費下載，支援iOS 11 以上版本，提供繁體中文、簡體中文、英語三種語言。僅21.5 MB的Trend Micro Zero 瀏覽器免註冊、操作簡單易上手，快速載入網頁的同時更能即時提供各種封鎖阻擋結果的項目統計，輕鬆保護消費者個資和生活隱私！

Android用戶注意! 800多個內嵌Xavier 廣告木馬 App,已被下載數百萬次

2017 年 06 月 20 日2017 年 06 月 20 日趨勢科技 TrendMicro

趨勢科技發現一個 Trojan Android 廣告木馬程式 Xavier (趨勢科技偵測到為 ANDROIDOS_XAVIER.AXM)，會偷偷竊取或洩漏使用者的資訊,只要下載並開啟中毒的APP極有可能在不自知的情況下，個資全被傳送出去。依據趨勢科技行動裝置應用程式信譽評等偵測顯示,共有 800 多種內嵌廣告木馬程式 SDK 的應用程式，在 Google Play 已被下載數百萬次。這些應用程式涵蓋工具應用程式，例如照片編輯應用程式、桌布與鈴聲變更程式。Xavier 有一套自我保護機制，試圖保護自己免受偵測,此外也會下載和執行其他惡意程式碼。

駭客利用Xavier蒐集被感染裝置的SIM卡資訊、手機型號、語言、已安裝的應用程式、Android ID、電子郵件地址….等資訊，然後將資訊加密並傳送到遠端伺服器。大多數下載遭Xavier感染 App的用戶，來自東南亞，例如越南、菲律賓和印尼，台灣下載量為 5.36%。

如何防範 Xavier?

避免下載與安裝來源不明的應用程式，即使這些應用程式是來自 Google Play 等合法應用程式市集
閱讀已下載該應用程式之其他使用者的評論。
更新或修補行動裝置，有助於阻擋鎖定漏洞的惡意程式。
一般用戶可以安裝趨勢科技行動安全防護,即刻免費體驗
企業也可以採取趨勢科技 Android 版行動安全防護

大多數下載遭Xavier感染 App的用戶，來自東南亞，例如越南、菲律賓和印尼，台灣下載量為 5.36%。

雖然趨勢科技之前已發現過惡意廣告木馬程式 MDash SDK，但這款木馬程式的部分特性與之前的廣告木馬程式有所不同。首先，這款木馬程式內嵌惡意行為，會下載遠端伺服器的程式碼，然後載入並執行。接著，它會透過字串加密、網際網路資料加密以及模擬器偵測等方法，試圖保護自己免受偵測。

由於 Xavier 具有這類自我保護機制，可以規避靜態與動態的分析，因此很難偵測出它的竊取和洩漏能力。此外，Xavier 也會下載和執行其他惡意程式碼，並可能造成比惡意程式更危險的後果。Xavier 的行為取決於由遠端伺服器設定的下載程式碼和程式碼 URL 而定。繼續閱讀

假銀行應用程式 SmsSecurity 變種來襲，除了竊取簡訊發送的密碼,還有更強大的隱蔽行動

2016 年 12 月 15 日2016 年 12 月 15 日趨勢科技 TrendMicro

新的SmsSecurity變種破解手機 濫用輔助功能和TeamViewer

在2016年1月，趨勢科技發現許多假的銀行應用程式「SmsSecurity」，號稱可以讓帳號擁有者用來取得一次性密碼（OTP）以登錄銀行；結果這些惡意應用程式，會竊取透過簡訊發送的密碼,還會接收來自遠端攻擊者的命令，控制使用者的行動設備。

⊙延伸閱讀: 想像一下，你的銀行通知你要安裝更新版本的行動應用程式。下載應用程式後，它要求管理員權限。你所收到的通知內提到確實會出現此要求，所以你按下同意鍵。你試了一下應用程式，它運作正常。你甚至可以順利完成交易。…
當你試著想要解鎖手機時，有人已經清空了你的銀行帳戶:再次檢視Emmental犯罪行動

趨勢科技發現了加入新功能的新的SmsSecurity變種。新的功能包括：防分析能力、自動破解Android，語系偵測和利用TeamViewer進行遠端連線。此外，SmsSecurity現在也巧妙地利用Android輔助功能來進行隱蔽行動而無需透過使用者互動。趨勢科技將這些惡意應用程式偵測為ANDROIDOS_FAKEBANK.OPSA。

利用設備標示來防止分析

我們所看到的新變種被設計成不會在模擬器中執行。讓分析這些樣本變得更加困難。如何做到這一點？它會檢查Build.prop檔案，裡面包含了安裝在行動設備上的Android版本屬性。這些變種會檢查Build.prop中的值如PRODUCT、BRAND和DEVICE，來研判自己是在實體設備或模擬器上執行。

圖1、偵測模擬器的程式碼

可以看到上面的程式碼檢查可能為模擬器的「generic」設備。如果偵測到就不會執行任何惡意程式碼以躲避動態分析工具。繼續閱讀

使用對嘴自拍影片應用程式: Dubsmash 和 Musical.ly 的三項兒童隱私保護祕訣

2016 年 08 月 25 日2016 年 08 月 17 日趨勢科技 TrendMicro

過去半年，我走遍了整個美國，並且很幸運地有機會和數百位四到八年級的學生相處了相當多的時間。這些多半是大人們因為對社群媒體上充斥著各種負面的人際問題 (網路霸凌、性愛簡訊、隱私侵犯、駭客詐騙等等)，因而憂心忡忡地邀請我和學生們座談。當然，大人也坦承自己對孩子的網路世界一竅不通所以才會感到恐懼。

其實，大人的擔心不是沒有道理的，因為孩子確實可能遇到一些不好的情況，或者彼此之間發生一些不愉快的狀況。然而，其實大多數的情況是孩子只是在網路上從事一些無害的活動，例如：做做功課、和朋友聊天、觀看影片，或者發揮創意。去年，我發現很多孩子都非常熱衷於音樂，他們喜歡探索、聆聽及分享音樂。其中最受歡迎的音樂應用程式包括：Spotify、Pandora、iHeart Radio 及 YouTube。隨著這些免費或付費音樂串流服務的出現，加上它們提供了蒐集和分享自己最愛音樂清單的功能，因此，這些應用程式對他們來說，就像我們當年自製的音樂合輯錄音帶一樣。根據 eMarketer 的調查，青少年平均每天有四小時以上的時間和音樂為伍。對於每天都做的同樣一件事情來說，這時間算是很長的。但孩子們就是喜歡。

除了單純聆聽音樂之外，孩子們還會使用像 Musical.ly 和 Dubsmash 這類製作對嘴自拍影片的應用程式。我試過這類程式，也看過孩子們在用。這類程式通常都是純粹好玩或是搞笑，讓孩子們發揮創意及展現自我。他們可在別人的創作上加上自己的想像力，每一次都像是幾分鐘的即興創作或重製創作。不過這兩個應用程式有一點不同：Musical.ly 算是一個社群媒體，因此，您是透過這個應用程式和他人一起創作及分享。Dubsmash 則不是，它是一個純粹讓您對嘴自拍影片的創作工具，製作好的影片也可以分享到 Instagram、Facebook 之類的社群媒體。

這些應用程式可讓您利用某首歌曲或其他電影橋段 (如電影裡的一句台詞) 來錄製對嘴的影片。對孩子來說，這只是好友們之間玩樂的一種方式。但對於像 Rihanna 這類藝人來說，這卻是一個和粉絲們互動的獨特方式。如同 YouTube 一樣，它可能是某人成名的一個契機。

若您已聽過這類應用程式，或者您的孩子正向您要求使用這類程式，以下是三項有助於他們維護安全的聰明守則：

張貼之前先考慮清楚。

如同您在網路上張貼的其他內容一樣，請記住一點，內容一旦張貼就很難收回。您愛怎麼玩都可以，但務必記住一旦您將影片分享出去，就會變成公開內容。您張貼的任何東西，都會反過來對您造成某種影響。或許您的創作非常搞笑，但如果只適合您自己看看就好，就千萬別分享出去。您可以保留在手機內，當自己想看或想給別人看的時候，就在手機上看。繼續閱讀