「Sent from Yahoo! Mail on Android」:Android 平台 Yahoo! App 程式漏洞可能讓駭客散發垃圾郵件

就在一波疑似某 Android 殭屍網路/傀儡網路 Botnet垃圾郵件(SPAM)的報導出現之後不久，趨勢科技就發現了 Android 平台Yahoo! App 程式的漏洞，此漏洞可讓駭客利用遭入侵的 Yahoo! 帳號散發垃圾郵件。

第一波透過 Android 殭屍網路散發的垃圾郵件？

近日趨勢科技發現了多個專門散發假藥品網站連結或網路釣魚（Phishing）網站連結的郵件。這一波垃圾郵件之所以特別，在於訊息的簽名部分有著「Sent from Yahoo! Mail on Android」(從 Android 上的 Yahoo! Mail 寄信) 的字樣，而且信件的 Message-ID 欄位數值為「androidMobile」。根據報導，其 IP 位址顯示這些訊息來自於開發中國家的網路業者。

某些專家依據這些證據猜測，這些垃圾郵件(SPAM)散發者可能利用了被植入惡意 App 程式的 Android 裝置。不過，Google 駁斥了垃圾郵件是從 Android 殭屍網路/傀儡網路 Botnet散發的說法，並宣稱歹徒應該是使用已感染的個人電腦，並在信件當中假冒行動裝置的特徵來試圖躲避電子郵件過濾機制。

就在最近，有人提出了另一種可能的情況。某些資訊安全研究人員推論，歹徒可能利用Android 平台Yahoo! App 程式的漏洞來入侵行動裝置並散發垃圾郵件(SPAM)。

歹徒可能利用 Adroid 平台的 Yahoo! Mail App 程式漏洞來散發垃圾郵件

不論這些訊息是從何而來，網路駭客是有可能利用 Android 平台的 Yahoo! App 程式漏洞來入侵 Yahoo! Mail 帳號然後散發垃圾郵件。事實上，趨勢科技最近在 Android 上的Yahoo! 郵件用戶端上發現了一個漏洞，此漏洞可允許攻擊者取得使用者的 Yahoo! Mail cookie。此問題來自於 Yahoo! 郵件伺服器和 Android 平台 Yahoo! 郵件用戶端之間的通訊弱點。在取得這個 cookie 之後，駭客就能使用已遭入侵的 Yahoo! Mail 帳號來散發精心製作的信件。此外，上述漏洞還可讓駭客存取使用者的收件匣和信件。

目前，我們正與 Yahoo! 溝通有關此漏洞的問題。不論垃圾郵件是從何發出，使用者依然必須小心這些垃圾郵件，因為，他們仍具某些威脅性。使用者若點選了這些連結，就會被導向假藥品網站，這些網站專門提供假的產品，或是連上一些網路釣魚（Phishing）網站，請使用者提供一些敏感資訊。因此，使用者切勿下載可疑郵件或點選其中的連結。

趨勢科技的使用者已受到主動式雲端截毒服務 Smart Protection Network 的防護，因此可攔截這類訊息。行動裝置的使用者也可使用趨勢科技行動安全防護for Android中文版來偵測 Android 平台的惡意 App 程式。

Android 使用者必須盡量避免從非官方應用程式商店下載 App 程式，因為這會增加下載到惡意 App 程式的機會。若要了解更多如何保護裝置的資訊，您可閱讀我們專為 Android 使用者撰寫的「數位生活e指南」。

@原文來源:Yahoo! Android App Vulnerability May Allow Spamming作者：Weichao Sun (行動裝置威脅分析師)

@延伸閱讀
安裝手機應用程式前要注意的三件事
 日本色情業者利用行動條碼（QR Code）誘騙付費
 Android木馬應用程式 :木馬幫你手機申購加值服務

Android app 惡意程式：愛情測試、電子書閱讀器、GPS 定位追蹤等應用程式夾帶病毒
你沒被告知的手機應用程式與資料外洩

《山寨版免費Android App》Instagram和Angry Birds Space憤怒鳥星際版/太空版下載後電信費暴增
 手機成竊聽器!!冒充Google+ 圖示,駭你全都露
 [圖文解說]旅行中誰吸乾了你的智慧型手機電力?

安裝手機應用程式前要注意的三件事

2011下半年 Android 手機威脅月平均成長率高達 60%

惡意Android應用程式:看成人影片不付費,威脅公布個資

假星巴克Starbucks 網路問卷騙局,要求利用Facebook和Twitter 分享, 換取的禮物竟是手機簡訊費

手機變成落湯”機”頭號兇手:馬桶!手機遭非惡意遺棄頭號地點:公車 !

中國第三方應用商店提供下載的手機間諜軟體想竊聽他人手機當心被反竊聽
 你曾下載過這些嗎?煩人廣告事小,追蹤位置,手機被竊聽才頭大,逾七十萬人次被駭