XLoader 和 FakeSpy 是最近崛起的兩個最重要的行動惡意程式家族。我們在 2018 年 4 月即探討過 XLoader，該惡意程式會利用 DNS 快取汙染與 DNS 假冒等技巧來讓讓受害者感染惡意 Android 應用程式，進而竊取個人身分識別資訊 (PII) 和金融相關資料，並且安裝額外的應用程式。同時，我們也在 6 月發表過針對 FakeSpy 的研究發現，此惡意程式會經由網路釣魚簡訊 (SMiShing) 來感染 Android(安卓) 裝置，同樣也會竊取使用者資訊。
截至 10 月為止，全球加起來總共約有 384,748 名 XLoader 和 FakeSpy 受害者，主要分布在南韓和日本。
圖 1：今年 XLoader 和 FakeSpy 每月感染數量。 繼續閱讀
報導指出一款名為「RottenSys」的惡意程式，透過植入廣告誘騙用戶點擊、牟取暴利，估計近 500萬台手機在上市前就被暗藏惡意軟體，包括華為、小米、OPPO 等中國廠牌手機都遭殃。本文深入解析RottenSys 。
安全研究人員發現一款被稱為 RottenSys 的廣告軟體（趨勢科技將其偵測為ANDROIDOS_ROTTENSYS），據報自2016年以來影響了近500萬台的Android設備。RottenSys是根據所分析的樣本命名，目前有316種變種，每種都根據攻擊活動，所針對廣告平台及散播管道來客製化。進一步對RottenSys進行研究後發現幕後操作者正在嘗試新一波的攻擊，會將受影響設備變成殭屍網路。
[TrendLabs研究：2017年的行動威脅環境]
RottenSys會偽裝成無線網路安全應用程式/服務並要求Android上的權限。在安裝之後，它會經過一段時間再去連接命令與控制（C&C）伺服器 – 這是RottenSys躲避偵測的手法之一。另一個作法是廣告軟體只包含一個不會執行惡意行為的植入程式（dropper）組件。以下是RottenSys的運作方式：
[來自TrendLabs安全情報：GhostTeam廣告軟體竊取Facebook帳密]
MarsDaemon會影響手機效能並且會顯著地消耗電力。但除了造成對手機的耗損之外，研究人員發現RottenSys的幕後操作者在10天內就可以已經賺得了超過115,000美元。 繼續閱讀
網路詐騙與真實世界犯罪已經開始出現交集。根據趨勢科技今年 5 月所看到的一樁案例，歹徒利用工具破解 iCloud 帳號以解鎖偷來的 iPhone 手機。經過進一步追查之後，我們發現犯罪集團跨界的程度相當深。今日全球手機銷贓市場其實已具備相當的規模，而破解 iCloud 則是其中重要一環。從愛爾蘭、英國到印度、阿根廷及美國，失竊裝置解鎖服務的需求令人乍舌：去年，失竊的 iPhone 手機在東歐國家可賣到 2,100 美元之譜，而美國去年也有 23,000 台 iPhone (總價值 670 萬美元) 在邁阿密國際機場失竊。
假冒 Apple 名義發送一封電子郵件或簡訊給受害者
駭客的手法相當直接，他們假冒 Apple 名義發送一封電子郵件或簡訊給受害者，通知他們失竊的裝置已經尋獲。此時，心急如焚的受害者很可能不假思索就點下訊息隨附的連結，進而連上歹徒用來騙取受害者 iCloud 登入憑證的網頁，得手之後，歹徒就能解鎖偷來的 iPhone 手機。竊賊會透過第三方 iCloud 網路釣魚服務來解鎖裝置。這些 iCloud 網路釣魚服務業者所用的犯罪工具包括：MagicApp、Applekit 與 Find My iPhone (FMI.php) 架構，甚至建立了自動化 iCloud 解鎖流程，裝置一旦解鎖之後，就能賣到地下市場或灰色市場 (gray market)。
這類 iCloud 解鎖服務大多利用社群網站或個人網站來經營。此外，也提供服務轉售或伺服器租用 (替人發送網路釣魚訊息)。這類服務的客戶遍及全球，如：義大利、法國、西班牙、美國、印度、沙烏地阿拉伯、巴西以及菲律賓。雖然我們只研究了三個 iCloud 解鎖應用程式和服務，但網路上可找到的還更多，只要搜尋一下社群媒體、網路廣告和電子商務網站即可。
我們發現的案例牽涉到科索沃、菲律賓、印度和北非等國的數個犯罪集團。開發 AppleKit 的駭客在一個叫「dev-point」的阿拉伯駭客論壇上相當活躍。使用 MagicApp 或 AppleKit 兩套工具的客戶並不一定非用網路釣魚腳本不可，但因為開發人員大多熟悉彼此的產品 (而且成功率頗高)，因此許多人都傾向將三者合併使用。
利用網路釣魚騙取登入憑證
以下是歹徒犯案手法示意圖。駭客一旦取得了受害者的 iCloud 帳號，其工具就可以下載 iCloud 帳號來從事其他犯罪活動，然後再將它刪除。
圖 1：駭客犯罪手法示意圖。 繼續閱讀
對很多消費者和企業而言，行動裝置已是他們存取資訊和與人通訊不可或缺的隨身工具。事實上，在許多國家，行動裝置已成為人們的主要上網工具。
然而，當越來越多人開始使用智慧型手機、平板、筆記型電腦來執行一些重要的企業及個人活動，這些裝置也開始吸引駭客的目光。駭客正逐漸將攻擊目標從桌上型電腦移轉到行動裝置，也因此，行動平台的威脅正在逐漸崛起。
趨勢科技「2017 上半年資安總評」報告引述趨勢科技「行動裝置應用程式信譽評等服務 (MARS)」所蒐集的資料指出，今年有越來越多非重複的行動勒索病毒樣本出現，數量以 2017 年 3 月最高，MARS 共偵測到 56,000 個行動勒索病毒樣本。
「勒索病毒數量以 2017 年 3 月最高，MARS 共偵測到 56,000 個行動勒索病毒樣本。」
勒索病毒 Ransomware (勒索軟體/綁架病毒)從桌上型電腦轉戰行動裝置，這只不過是網路犯罪集團自然而然的發展。在桌上型電腦上，這類結合強大加密與勒索訊息的攻擊手法，不僅讓受害者聞之喪膽，也讓歹徒賺進大把鈔票。
今日，行動勒索病毒越來越普遍，例如前一陣子出現的 SLocker 樣本。趨勢科技行動威脅應變團隊在七月份通報了 SLocker 勒索病毒，並指出這個新的變種可說是追隨著惡名昭彰的WannaCry(想哭)勒索蠕蟲勒索病毒的腳步。
趨勢科技行動威脅應變團隊指出，SLocker 家族基本上是最古老的手機勒索病毒之一，會鎖定裝置畫面並加密檔案，而且還會假冒執法機關的名義恐嚇受害者，讓受害者乖乖付錢。該病毒在沉寂了多年之後，突然在今年五月重出江湖。這次的 SLocker 變種是一個針對 Android 平台的檔案加密勒索病毒，同時也是第一個趁著 WannaCry 病毒餘波蕩漾而推出的勒索病毒。
繼桌上型電腦之後，當行動裝置出現的勒索病毒越來越多，使用者即有必要採取適當的防護，尤其是在企業環境當中使用行動裝置的員工。
行動裝置也開始像 PC 一樣容易遭到勒索病毒攻擊。
行動裝置使用者必須小心的威脅還不僅勒索病毒而已。以往駭客經常利用第三方應用程式商店較為寬鬆的安全檢查來散布手機惡意程式，這樣的風險至今依然不變。 繼續閱讀
趨勢科技的研究人員發現一個新變種SLocker會在Android上模仿WannaCry(想哭)加密勒索病毒介面。這被偵測為ANDROIDOS_SLOCKER.OPSCB的新SLocker行動勒索病毒的特點是會利用中國社群網路QQ的功能，還會持續鎖住螢幕。
SLocker是在7月被首度偵測和分析的Android檔案加密勒索病毒，會模仿WannaCry的介面。隨然中國警方已經逮捕遭指控的勒索病毒作者，但其他的 SLocker 操作者顯然仍未受影響,持續發佈新變種。
受害者大多是從討論熱門手遊“王者榮耀”的QQ聊天群組感染這行動勒索病毒，這也是之前版本的傳染媒介。它會偽裝成遊戲作弊工具，使用名稱“錢來了”或“王者榮耀修改器”來作偽裝。這遊戲在中國非常受歡迎，有兩億的註冊使用者。
病毒樣本被封裝成“com.android.admin.hongyan”（hongyan就是“紅顏”）和“com.android.admin.huanmie”（huanmie就是“幻滅”）。這兩個詞常被用在中國小說中，在青少年中很普及。
SLocker 中文簡體字勒索訊息自問自答寫著:
先前的版本,還很狂妄地說:沒有我們的解密服務,就算老天爺來了也不能恢復這些文檔…
還要受害者注意語氣,沒錢不要來騷擾
除了圖形介面（也有些設計變動）和可以在假工具執行時變更手機桌布外，這個新變種SLocker和之前版本並沒有其他相似之處。跟ANDROIDOS_SLOCKER.OPST不同，新變種使用Android整合開發環境（AIDE），這是可以直接在Android上開發Android應用程式的軟體。要注意的是，使用AIDE可以讓勒索病毒操作者更加容易製作Android軟體（APK），這樣的便利性會吸引新手來開發自己的病毒變種。 繼續閱讀