App 程式如同瀏覽器:行動裝置 App 程式值得信任嗎?

當趨勢科技的研究小組在進行腦力激盪,試圖找出值得研究的計劃時,有人提到手機 App 程式其實骨子裡就是一個「經過包裝的瀏覽器」。

請容我娓娓道來。當您打開您最愛的 App 程式,它很可能會連上某個網站,然後以某種方式呈現所取得的資料。當然,並非所有手機 App 程式都會這麼做,只不過絕大部分是如此。我所說的並不侷限於 Amazon 或 eBay 的 App 程式 (這些當然看起來像瀏覽器,只不過查詢的對象僅限於他們的特定伺服器而已),還有像 Flipboard 這類的 App 程式也是。我很喜歡 Flipboard,但骨子裡,它只不過是連上 Facebook 和Twitter,然後用漂亮的方式來呈現內容而已 (好吧,它非常漂亮)。

這樣的情況會不會讓 App 程式更容易遭遇到一般瀏覽器不會遇到的狀況 (也就是不可預期的行為) 呢?例如,如果某個 App 程式會發送制式化的請求到特定的網站,是不是會有人利用這一點來操弄這個 App 程式或這個網站呢?

我針對這一點展開了研究,並且建立了一個環境來窺探所有進出 Android 和 iPhone/iPad 行動裝置 App 程式的網路流量。我測試了很多 App 程式,查看它們的流量,看看是否有些漏洞可以利用,結果我真的有所發現。

我的朋友推薦了一個顯然非常熱門的資源管理遊戲。這個遊戲每星期都會提供一份獎品給遊戲玩家。但現在他們已經取消了這項作法,這有可能是我的錯 (儘管我從未直接和他們聯繫)。這項機制的運作方式大致如下:如果您在遊戲開發廠商的 Facebook 網頁上按「讚」,他們就會提供一個密碼給你,該密碼可在特定的周末解開某些隱藏的資源。每周末都會換一組新的密碼,該密碼只在那二天有效。

 

如果您在遊戲開發廠商的 Facebook 網頁上按「讚」,他們就會提供一個密碼給你,該密碼可在特定的周末解開某些隱藏的資源
如果您在遊戲開發廠商的 Facebook 網頁上按「讚」,他們就會提供一個密碼給你,該密碼可在特定的周末解開某些隱藏的資源

繼續閱讀

假的 WhatsApp for Facebook正在塗鴉牆流傳

 趨勢科技發現有個詐騙攻擊目前正在Facebook上出現。值得注意的是,這次詐騙的誘餌是利用知名手機傳訊軟體 – WhatsApp。當你看到朋友在Facebook發出使用”WhatsApp for Facebook”的訊息,千萬不要好奇也跟進點選該冒牌程式的授權要求,以免更多垃圾訊息在你和朋友間流傳。根據趨勢科技表示,這個網站最終會引導到星巴克等問卷調查網路釣魚(Phishing)(就是詐騙網頁)要求使用者輸入手機號碼,在過程中就會訂閱使用者並不需要的廣告訊息服務。這會讓使用者付出額外的費用給這些他們並沒有要求的服務。

 

假的WhatsApp for Facebook正在塗鴉牆流傳
假的WhatsApp for Facebook正在塗鴉牆流傳

 

 這次詐騙攻擊就像是典型的騙局:使用者會被導到假WhatsApp Facebook頁面,並要求使用者的授權。一旦應用程式獲得所需權限,就會秀出其他看來使用WhatsApp應用程式的Facebook使用者,通常是受駭者自己的好友。

 

塗鴉牆訊息顯現朋友正在使用假WhatsApp for Facebook
塗鴉牆訊息顯現朋友正在使用假WhatsApp for Facebook

 

有趣的是,使用者會被導到看來是針對行動用戶所做的使用者協議網頁。這網頁會出現各種不同行動作業系統的圖示,讓它看起來更像是正常網頁。

 

假的 WhatsApp for Facebook網頁會出現各種不同行動作業系統的圖示,讓它看起來更像是正常網頁

當使用者同意並授權給這應用程式後,接著會根據受駭者的位置而將其導到不同網頁。對於位在美國、澳洲、紐西蘭、德國和英國的使用者,他們會被導到假的星巴克禮物卡網頁。而其他國家的使用者則會被導到不同的網頁:

當使用者同意並授權給這應用程式後,接著會根據受駭者的位置而將其導到不同網頁。比如假的星巴克禮物卡網頁
當使用者同意並授權給這應用程式後,接著會根據受駭者的位置而將其導到不同網頁。比如假的星巴克禮物卡網頁

 

如果你要更進一步就得完成所謂的問卷,這些問卷內容其實就是進一步騙取你訂閱手機簡訊服務。

 

趨勢科技主動式雲端截毒服務  Smart Protection Network可以保護使用者免受此種威脅,阻止使用者連上問卷調查詐騙網站。因為有超過九億的使用者,Facebook自然而然會成為這些詐騙攻擊的目標。想要了解更多關於如何保護自己,免受這些威脅(尤其是問卷調查詐騙)所駭的資訊,可以參考我們的常見問題集 – 針對社群網站用戶的問卷調查詐騙。

趨勢科技之前曾經報導過假Android應用程式網頁會偽裝成受歡迎的手機軟體,像是Instagram和Angry Birds Space憤怒鳥星際版/太空版。但這次的新騙局顯示它不會跟之前一樣,在Facebook上散播通往假Android應用程式的連結。

 

 @原文出處:Scam Disguised As WhatsApp for Facebook

作者:Paul Pajares(詐騙分析師)

 

@延伸閱讀

Facebook詐騙不再來:PC-cillin 2012 雲端版自動掃描臉書塗鴉牆,惡意連結一目了然
假星巴克Starbucks 網路問卷騙局,要求利用Facebook和Twitter 分享, 換取的禮物竟是手機簡訊費
[ 社交網站安全指南 1 ] 你忘了三年前上傳的圖片,駭客卻記得
[ 社交網站安全指南 2 ] 可在 Facebook 使用的Email 帳號黑市價碼較高
[ 社交網站安全指南 3] 不會對電話詐騙者回答的私人問題,也不要公開在社交網站(減少社交網站風險的四個方法)

【立即下載試用PC-clin 2012 雲端版 臉書地雷區 bye bye~】

◎ 免費下載防毒軟體:歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻【按這裡下載】

@參考推文

雲端系!史上最強防毒軟體現身
看更多<PC-cillin真的不一樣>100字推文

◎ 歡迎加入趨勢科技社群網站