Android - 資安趨勢部落格

假 Android漏洞「掃描程式」暗藏玄機

2015 年 05 月 04 日2015 年 05 月 04 日趨勢科技 TrendMicro

Android安裝程式劫持漏洞,成為惡意軟體誘餌

Android 行動用戶要注意了，出現了一個被稱為「Android安裝程式劫持漏洞」的Android臭蟲。這漏洞可以讓網路犯罪分子將正常的應用程式置換或修改成惡意版本用來竊取資料。鑑於此一漏洞的嚴重性，我們決定尋找會利用此一漏洞的威脅。

有一個掃描程式可用來檢查自己的行動設備是否受到這個Android安裝程式劫持漏洞的影響。使用相關的關鍵字後，趨勢科技發現有三個網站在宣傳針對此Android漏洞的「掃描程式」，有的甚至冒用真正掃描程式的名稱。

第一個網站

第一個網站提供兩個選項來下載掃描程式APK檔案。點擊任何一個都會在被重新導到Google Play上的正式掃描程式網頁前先導到另一個網站。

圖1、第一個網站透過兩個選項來「提供」掃描程式

如果有人點入該網站的其他部分會發生什麼事？會在新頁籤載入一個新網站。這些網站從問卷調查到所謂的軟體更新都有。此外，會自動下載一個檔案到行動設備上。在我們的研究過程中，可以下載三個檔案：

apk – 偵測為ANDROIDOS_SMSPAY.FCA，這是一種加值服務簡訊濫用程式
vShareMarket_1.5.9_yeahmobi.apk – 偵測為A，這是個廣告軟體
63_1631_03201923.apk – 這是個正常的應用程式

第二個網站

「持續」是用來描述第二個網站行為的最佳字眼。在被重新導到一個不同網站後，使用者會遇到一個彈跳視窗，就算點擊「OK」按鈕也不會讓它消失。關閉瀏覽器不會解決彈跳視窗的問題，也不會清除記憶體。重新打開瀏覽器之後還會出現相同的頁籤。要特別指出的是，並不會下載檔案到行動設備上。

圖2、第二個網站（左）和持續跳出的視窗（右）

繼續閱讀

假關機真監控, Android手機木馬”暗”地裡執行惡意動作

2015 年 03 月 20 日2015 年 03 月 19 日趨勢科技 TrendMicro

你以為你的 Android 手機真的已經關機了嗎?別相信眼見為憑這件事。

一個被稱為PowerOffHijackAndroid，來自中國應用程式商店的木馬程式，可以成功地誘騙使用者相信自己的設備在關機狀態。除非你一手拿著Android手機，一手拿著它的電池，不然你可能無法確定它是否真的關機。

偽裝關機的Android木馬可以追溯到2014年的假Google服務應用程式

Android關機動畫讓你相信設備正在關機。在這時候，惡意軟體仍然可以撥打電話、傳送簡訊、拍照和做其他惡意行為，而且不用經過使用者同意。

這些惡意軟體都在Google Play之外的第三方應用程式商店中發現，需要被 root過的設備才能執行。

深入此一問題後，趨勢科技研究者發現了據信為早期版本的 PowerOffHijack 應用程式，似乎早在2014年9月就出現。應用程式名稱為AndroidFramework（偵測為AndroidOS_AndFraspy.HAT），將自己偽裝成Google服務，使用套件名稱com.google.progress。

假關機行為

行動裝置使用者都知道，按下電源按鈕有兩種做法。按一下按鈕會關閉螢幕，長按會跳出提示，包括了關機選項。

AndroidFramework 被設計成在背景執行其惡意動作，當你按下電源按鈕並且讓螢幕變黑之後。繼續閱讀

應用程式內不正常的AndroidManifest.xml可能導致手機崩潰

2015 年 01 月 23 日2015 年 01 月 18 日趨勢科技 TrendMicro

每個Android應用程式都包含了數個元件，其中一個稱為AndroidManifest.xml或Manifest配置文件。這個檔案中包含了應用程式的基本資訊，是系統執行應用程式程式碼必須要有的資料。我們發現一個和此檔案相關的漏洞，可能會導致受影響手機陷入重新啟動的無限迴圈，讓手機變得無法使用。

Manifest資源配置文件漏洞

這個漏洞會透過兩種不同的方式導致作業系統崩潰。

第一種牽涉到超長字串和記憶體分配。一些應用程式可能會使用DTD技術（文件類型定義，Document Type Definition）在其XML檔中包含了超長字串。當此字串被分配給AndroidManifest.xml內的標籤（如權限名稱、label、活動（Activity）名稱）引用時，PackageParser會需要記憶體來解析這XML檔。然而，如果它需要的記憶體比可使用的還多時，PackageParser會崩潰。這會觸發連鎖反應，讓所有正在執行的服務停止，整個系統會因此重新開機。

第二種方法牽涉到APK檔和intent-filter，它用來宣告服務或活動（Activity）可以做的事情。如果Manifest資源配置文件內包含一個活動（Activity）帶有這此intent-filter定義，會在桌面建立一個圖示：

<intent-filter>

<action android:name=”android.intent.action.MAIN”/>

<category android:name=”android.intent.category.LAUNCHER”/>

</intent-filter>

如果有許多活動（Activity）用此intent-filter定義，在安裝後會建立相同數量的圖示在主畫面中。如果數量太多。這APK檔就會導致重新開機迴圈。

如果活動（Activity）的數量大於10,000：

在Android 4.4上，桌面管理程序會進行重開機。
在Android L上，PackageParser會崩潰和重開機。不正常的APK檔會被安裝，但不會顯示圖示。

如果活動（Activity）的數量超過100,000，手機會陷入重新開機迴圈。繼續閱讀

我的iPhone刀槍不入?

2015 年 01 月 19 日2015 年 01 月 19 日趨勢科技 TrendMicro

iPhone 使用者很容易就會陷入跟 Apple Mac OS 使用者一樣的迷思。他們相信自己所選的設備跟競爭對手比起來「更少漏洞」或「更加安全」。真的如此嗎？「較少被針對」真的等於「更加安全」嗎？

作者：趨勢科技全球安全研究副總裁Rik Ferguson

大部分對行動作業系統及服務的疑慮都集中在Android平台相關的風險。這個生態系統開放且散佈廣泛的本質無疑地也讓它成為最普遍也最廣泛的目標，也遭受到最成功的攻擊。

Google 的 Android系統跟 Apple iOS 相較起來，一向都有著較不嚴謹的應用程式權限系統、因為支援第三方應用程式而更加開放的應用程式散播方式，更加廣泛地嵌入在各種設備和服務內。因為這些以及諸多原因，網路犯罪分子將注意力都集中在此平台上，幾乎忘了Apple iOS。事實上，我們目睹了惡意軟體和惡意應用程式在Android平台上出現無人可比的快速爆炸性成長。Android惡意軟體在僅僅三年內就達到Windows惡意軟體用上15年所達到的數量。

正因為如此，所以也可以理解為什麼 iPhone 使用者很容易就會陷入跟 Apple Mac OS 使用者一樣的迷思。他們相信自己所選的設備跟競爭對手比起來「更少漏洞」或「更加安全」。真的如此嗎？「較少被針對」真的等於「更加安全」嗎？答案是否定的；沒有上鎖的房子仍然可能被侵入，即便它還沒有被竊過。

一個對此的客觀評估是檢視各平台上通報的漏洞數量。結果可能令人驚訝。根據美國國家漏洞資料庫，iOS自其最初版本開始已經有了超過 400個漏洞，而 Android 以接近 350 個拿到第二名。因為iOS上市的時間稍微久一點，所以這細微的差別幾乎不值一提。更值得注意的是 iOS 平台上稀少的惡意軟體。

有兩個因素可能會在不久的將來結合起來打破這種不平衡的情況；一個由廠商控制，而另一個則顯然的不是。

現在一個關鍵的產業趨勢是融合，Apple也不例外，Mac OS 和 iOS 在功能上已經有越來越大程度的融合，誰敢說未來不會從程式碼資料庫的角度進行。桌面設備、行動設備、智慧型設備、居家視聽和穿戴式設備的融合會產生更加均勻和相互關聯的受攻擊面，無疑地會讓攻擊者想加以利用，再加上了使用者自以為刀槍不入的錯誤心理，對攻擊者來說變得非常具有吸引力。

第二個因素可以回顧到我們在2014年底所做的預測。會在未來12個月內看到第一次真正的跨平台漏洞攻擊包出現。這會提供一種自動化的方式來攻擊各種被針對系統的漏洞。如果是在智慧型手機上，這代表攻擊者可以打破應用程式商店環境的牢籠。不再需要依靠第三方應用程式商店和部分受害者的不當行為去安裝假應用程式。

跨平台漏洞攻擊包將讓攻擊者可以同等的攻擊 iOS和 Android，只要有漏洞存在，就跟他們在傳統的運算環境上所作的一樣。行動作業系統上的嚴重漏洞就會和桌上電腦一樣，對攻擊者來說具備相同的重要性、吸引力和價值，也會對防禦者帶來相同的問題。有鑒於行動裝置相當程度的整合在工作和個人生活而且缺乏管理，後果甚至可能更令人憂心….

＠原文出處：My iPhone is like a Shield of Steel

Android同源政策漏洞攻擊,未經同意幫你在Facebook按讚,加朋友,加入粉絲頁…

2015 年 01 月 13 日2015 年 01 月 13 日趨勢科技 TrendMicro

趨勢科技在幾個月前討論過Android同源政策（Same Origin Policy）漏洞，我們後來發現它比預想中還要更廣泛地出現。現在，在趨勢科技和Facebook合作下，發現有攻擊在積極地利用此一漏洞，我們相信其所使用的程式碼是基於公開的Metasploit程式碼。

此次攻擊針對Facebook使用者，透過一特定Facebook網頁上的連結來導到惡意網站。此網頁包含混淆處理過的JavaScript程式碼（見圖1），試圖在內部框架中載入一個Facebook網址（如圖2）。使用者只會看到空白頁面，因為網頁語法已經透過div標籤來設成不顯示任何東西（圖3），而內部框架的大小僅有一個像素（圖4）。

圖1、打開Facebook網頁內的惡意軟體程式碼片段

圖2、Facebook網頁的相應內容

繼續閱讀