Android - 資安趨勢部落格

《行動裝置勒索病毒》躲進口袋的壞東西: Android勒索病毒,一年增加了140%

2016 年 12 月 30 日2017 年 02 月 13 日趨勢科技 TrendMicro

在幾個星期前，筆者在2016年的歐洲黑帽大會上談論了躲進口袋的壞東西：為什麼勒索病毒造成貓捉老鼠遊戲內的曲折劇情。當回顧2015年4月到2016年4月的行動勒索病毒 Ransomware (勒索軟體/綁架病毒)時，趨勢科技注意到了Android勒索病毒數量的大幅上升。在這一年時間內，Android勒索病毒數量增加了140%。某些地方的行動勒索病毒甚至佔行動惡意軟體總數的22%！（這些數字來自趨勢科技的行動應用程式信譽評比服務）。在這期間所注意到的一個趨勢是它跟傳統勒索病毒走勢有密切相關：跟其他勒索病毒一樣，行動勒索病毒也在不斷地發展和成長。

這項研究從筆者在Politecnico di Milano（POLIMI）時就開始，趨勢科技的行動研究團隊為這項研究做出巨大的貢獻。本文將討論行動勒索病毒所使用的技術及協助解決這些問題的偵測技術。

為什麼行動勒索病毒會得逞？上鎖和恐懼

根據趨勢科技的分析，鎖住螢幕和恐嚇受害者必須付錢,以重新啟用設備,是行動勒索病毒得逞的必備伎倆。

鎖住螢幕

SMSLocker（偵測為ANDROIDOS_SLOCKER或ANDROIDOS_SMSLOCKER）是現今Android勒索病毒的開端。最初它沒有使用加密技術，只是將目標檔案隱藏起來。2015年的版本會用根據設備產生的金鑰加密，所以很難去製作通用的解鎖工具。它主要利用簡訊進行命令和控制（C&C）通訊；有些變種會使用Tor。SLocker對行動勒索病毒最大的改變是使用Android UI API來鎖住設備螢幕。這是我們第一次看到惡意軟體利用此技術來控制設備，總結如下基於KeyEvent.Callback API呼叫：

綁定onKeyDown()和onBackPressed()函式回調，
只要受害者按下實體按鈕就會觸發回調，
根據API，透過傳回「true」值給連鎖內的下一個回調（代表「不傳播，事件已經被處理」），應用程式有效地防止當前的活動被移到背景處理。

圖1、Android套件索引列表內onKeyDown()函式的說明

繼續閱讀

假銀行應用程式 SmsSecurity 變種來襲，除了竊取簡訊發送的密碼,還有更強大的隱蔽行動

2016 年 12 月 15 日2016 年 12 月 15 日趨勢科技 TrendMicro

新的SmsSecurity變種破解手機 濫用輔助功能和TeamViewer

在2016年1月，趨勢科技發現許多假的銀行應用程式「SmsSecurity」，號稱可以讓帳號擁有者用來取得一次性密碼（OTP）以登錄銀行；結果這些惡意應用程式，會竊取透過簡訊發送的密碼,還會接收來自遠端攻擊者的命令，控制使用者的行動設備。

⊙延伸閱讀: 想像一下，你的銀行通知你要安裝更新版本的行動應用程式。下載應用程式後，它要求管理員權限。你所收到的通知內提到確實會出現此要求，所以你按下同意鍵。你試了一下應用程式，它運作正常。你甚至可以順利完成交易。…
當你試著想要解鎖手機時，有人已經清空了你的銀行帳戶:再次檢視Emmental犯罪行動

趨勢科技發現了加入新功能的新的SmsSecurity變種。新的功能包括：防分析能力、自動破解Android，語系偵測和利用TeamViewer進行遠端連線。此外，SmsSecurity現在也巧妙地利用Android輔助功能來進行隱蔽行動而無需透過使用者互動。趨勢科技將這些惡意應用程式偵測為ANDROIDOS_FAKEBANK.OPSA。

利用設備標示來防止分析

我們所看到的新變種被設計成不會在模擬器中執行。讓分析這些樣本變得更加困難。如何做到這一點？它會檢查Build.prop檔案，裡面包含了安裝在行動設備上的Android版本屬性。這些變種會檢查Build.prop中的值如PRODUCT、BRAND和DEVICE，來研判自己是在實體設備或模擬器上執行。

圖1、偵測模擬器的程式碼

可以看到上面的程式碼檢查可能為模擬器的「generic」設備。如果偵測到就不會執行任何惡意程式碼以躲避動態分析工具。繼續閱讀

《概念證明應用程式》即便手機設定成不接受來自Google Play以外的應用程式,竟也可以偷偷安裝應用程式!

2016 年 12 月 14 日2016 年 12 月 12 日趨勢科技 TrendMicro

新的 Dirty COW攻擊方式可讓惡意程式碼直接寫入程序

Dirty COW（編號CVE-2016-5195）是在2016年10月首次被公開披露的Linux漏洞。這是個嚴重的提權漏洞，可以讓攻擊者在目標系統上取得root權限。它被Linus Torvalds描述為「古老的漏洞」，在披露後就迅速地被修補。多數Linux發行版本都已經盡快地將修補程式派送給使用者。

Android也同樣受到Dirty COW漏洞影響，雖然SELinux安全策略大大地限制住可攻擊範圍。趨勢科技發現了一種跟現有攻擊不同的新方法來利用Dirty COW漏洞。這個方法可以讓惡意程式碼直接寫入程序，讓攻擊者能夠對受影響設備取得很大的控制。目前所有的Android版本都受到此問題影響。

概念證明應用程式:即便手機設定成不接受來自Google Play以外的應用程式,也可以偷偷安裝應用程式

下面的影片顯示一個已經更新最新修補程式的Android手機安裝了我們所設計的概念證明應用程式且無須要求授予任何權限。一旦執行，就可以利用Dirty COW漏洞來竊取資訊和變更系統設定（在這展示中會取得手機位置，開啟藍牙和無線熱點）。它也可以偷偷安裝應用程式，即便手機設定成不接受來自Google Play以外的應用程式。

為什麼會這樣？當執行一個ELF檔案時，Linux核心會將可執行檔映射到記憶體。當你再次打開相同的ELF可執行檔時會重複使用這份映射。當利用Dirty COW漏洞來修改執行中的ELF可執行檔時，執行中程序的映像也會改變。讓我們想想這代表什麼：Dirty COW可以修改任何可讀的執行中程序。如果程序不可讀，則用cat /proc/{pid}/maps來找出是否有任何載入中的ELF模組可讀。

在Android上也可以應用相同的步驟。Android Runtime（ART）程序可以用相同的方式動態修改。這讓攻擊者可以在Android設備上執行應用程式來修改任何其他可讀程序。所以攻擊者可以注入程式碼並控制任何程序。

圖1、改進的Dirty COW攻擊

這種攻擊將攻擊能力延伸到不僅僅只是讀寫檔案，而是直接將程式碼寫入記憶體。可以取得root權限而無須重新啟動或造成系統崩潰。

在我們的概念證明影片中，動態修改libbinder.so讓我們的應用程式取得系統root權限。我們使用這能力繞過Android的權限控管來竊取資訊和控制系統功能。

解決方式和資訊披露

趨勢科技已經將此問題通報Google。Dirty COW最初是透過2016年11月的Android更新加以修補，但這直到2016年12月的更新才強制此項修補。使用者可以詢問行動設備廠商或電信業者來了解自己的設備何時可以取得更新。

我們現在正在監控使用此類攻擊的威脅。強烈建議使用者只安裝來自Google Play或可信賴第三方應用程式商店的應用程式，並使用行動安全解決方案（如趨勢科技的行動安全防護）來在惡意威脅進入設備或對資料造成危害前加以封鎖。

企業使用者應該要考慮如趨勢科技企業行動安全防護的解決方案。它涵蓋了設備管理、資料防護、應用程式管理、法規遵循管理、設定檔配置及其他功能，讓企業主可以在自帶設備（BYOD）計畫的隱私安全與靈活性、增加生產力之間取得平衡。

＠原文出處：New Flavor of Dirty COW Attack Discovered, Patched 作者：Veo Zhang（行動威脅分析師）

什麼！7億安卓裝置受監控個資通通流回中國

2016 年 11 月 26 日2016 年 11 月 28 日趨勢科技TrendMicro

安卓系列產品(Android)的忠實用戶看過來~就在上週，安卓裝置被爆出驚人安全漏洞：安卓承包商最近在安卓裝置上內建一個惡意軟體，其功能涵蓋監視用戶的行動足跡、聊天對象、甚至訊息內容……。詳細內容美國當局正進行嚴密的調查，然而雖不清楚受影響到用戶的實際數量，來自中國，同時也是編寫此軟體的上海廣升信息技術有限公司(Adups)已表示超過七億個安卓裝置內建此軟體。

揭發該漏洞的行動安全公司Kryptowire表示：廣升的軟體將信息內容、聯絡人名單、通話記錄、發送位址，以及其他相關資料從世界各地傳送回中國。電子產品中出現的資安漏洞大多數為程序錯誤，然而這次廣升編寫的內建軟體是蓄意內嵌以便監視用戶行為，因此引發很大的迴響。

延伸閱讀>>反查號碼APP曝光30億個資雅虎警告: 立即移除這些危險APP! 繼續閱讀

Android用戶小心 400種APP染毒, 實施個人自備裝置 (BYOD)的企業風險增高

2016 年 10 月 07 日2016 年 10 月 06 日趨勢科技 TrendMicro

Android手機用戶請小心， Google Play商店中可能有多達400種應用程式帶有某個稱為「DressCode」家族散播的木馬病毒，恐導致個資外洩。此惡意程式會讓駭客經由遭感染的裝置入侵裝置所連接的網路，因此，若裝置連上的是企業網路，其威脅將不言而喻。

行動裝置威脅在最近幾個月的時間之內急速成長，趨勢科技行動裝置應用程式信譽評等服務 (Mobile App Reputation Service，簡稱 MARS) 截至 2016 年 8 月為止，已偵測到 1,660 萬個行動惡意程式，較一月份偵測的數量大幅成長 40%。Android 平台依然特別容易遭到攻擊，尤其，某個稱為「DressCode」的家族從四月份起便一直暗中持續散布，直到八月才有相關報導出現。此惡意程式會讓駭客經由遭感染的裝置入侵裝置所連接的網路，因此，若裝置連上的是企業網路，其威脅將不言而喻。

趨勢科技將此惡意程式命名為 ANDROIDOS_SOCKSBOT.A，並且至少發現了 3,000 個遭此惡意程式木馬化的應用程式。這些木馬化程式曾出現在多個知名的 Android 應用程式市集，在 Google Play 商店也偵測到 400 多個。由於惡意程式碼只占應用程式的一小部分，因此偵測不易。被感染的程式從休閒類應用程式如遊戲、外觀套件、主題套件，到手機優化程式等等涵蓋廣泛。趨勢科技曾在九月份通知 Google Play 這項威脅，該公司也已採取適當行動，將受感染的應用程式下架。