Hacking Team - 資安趨勢部落格

< 資安新聞周報 >駭客能把汽車引擎熄火! /會竊聽電話的 Hacking Team RCSAndroid 間諜工具

2015 年 07 月 27 日2021 年 12 月 23 日趨勢科技 TrendMicro

歡迎來到資安新聞週報，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

隨著之前關於iOS設備面臨Hacking Team間諜軟體風險的消息，現在繼續延伸到Android的領域。RCSAndroid（遠端控制系統Android）程式碼被認為是到目前為止已知的Android惡意軟體中開發最專業且成熟的一個。

汽車也遭駭，飛雅特克萊斯勒召修140萬輛車
飛雅特克萊斯勒（Fiat Chrysler）上周五宣布召修140萬輛配備某些觸控面板無線電的汽車，將進行軟體升級以防範可能的網路攻擊，因為先前電腦安全專家公開證明他們成功駭入車用無線通訊系統，而控制住一輛行進中的Jeep休旅車。這是美國首例因駭客入侵疑慮的車輛召修，並且顯示汽車業積極推進萬物聯網（IoE ,Internet of Everything）所面臨的風險。

駭客入侵你的車！不只控制音響還能把引擎熄火
美國一對資深網路安全專家示範，他們可利用網路讓行駛中的車輛熄火。美國網路媒體《Wired》的編輯駕駛了一部配備有 UConnect 通訊娛樂系統的 Jeep Cherokee，並開上了高速公路，兩名駭客利用手邊的筆記型電腦，控制了車輛的空調、音響及雨刷，最後甚至直接將車輛熄火。

繼續閱讀

會竊聽電話的 Hacking Team RCSAndroid 間諜工具

2015 年 07 月 24 日2015 年 09 月 15 日趨勢科技 TrendMicro

RCSAndroid 程式碼的外洩已讓它成為一項公開的商業間諜利器。行動使用者最好隨時掌握這項新聞的最新發展，並且隨時留意裝置是否有遭到監聽的跡象。可疑的跡象包括系統出現異常行為，例如：不正常重新開機、裝置上出現一些莫名其妙的應用程式、即時通訊軟體突然當掉等等。

一旦裝置遭到感染，這個後門程式必須有系統管理員 (root) 權限才能移除，使用者可能需要送回原廠來請他們重刷韌體才行。

繼新聞報導指出 iOS 裝置可能遭到 Hacking Team 間諜程式監聽之後，現在 Android 裝置也將遭殃。趨勢科技在 Hacking Team 資料外洩的檔案當中發現其開放原始碼惡意程式套件 RCSAndroid (Android 遠端遙控系統) 的程式碼，這是該公司所販賣的一項間諜工具。

RCSAndroid 工具的程式碼是至今曝光的所有 Android 惡意程式當中寫得最專業、最複雜工具之一。其程式碼的曝光，讓網路犯罪集團又多了一項新的利器可強化其間諜行動。

根據外洩的程式碼看來，RCSAndroid 應用程式具備下列10 個間諜能力：

透過「screencap」這個指令擷取螢幕抓圖，並可直接讀取螢幕緩衝區內容。
監看剪貼簿的內容。
蒐集 Wi-Fi 網路與各種網路帳號的密碼，如：Skype、Facebook、Twitter、Google、WhatsApp、Mail 及 LinkedIn。
利用麥克風錄音。
蒐集簡訊、多媒體簡訊與 Gmail 訊息。
蒐集定位資訊。
蒐集裝置資訊。
利用前、後鏡頭拍照。
蒐集聯絡人，解讀即時通訊訊息，如：Facebook Messenger、WhatsApp、Skype、Viber、Line、WeChat、Hangouts、Telegram 以及 BlackBerry Messenger。
攔截系統的 mediaserver 服務，即時錄下任何行動電話與 App 的語音通話。

繼續閱讀

Adobe Flash 就像煙癮一樣,難以戒掉?

2015 年 07 月 17 日2015 年 07 月 17 日趨勢科技 TrendMicro

上星期對 Adobe Flash 來說日子真是難過。 Hacking Team公司外洩的 440GB 電子郵件資料已成為駭客挖掘資安漏洞的寶藏。過去七天，光是 Flash 就被發現了三個不同的漏洞：

目前，只有第一個漏洞已經修正。Adobe 承諾會在本週之內修正另外兩個漏洞，但這仍難保未來不會有其他該平台的漏洞出現。因此我們不禁要問：我們是否要趁現在乾脆放棄使用 Adobe Flash？

Flash 一直是資訊安全的夢魘，多年來，趨勢科技在這部落格上已經報導過各種Flash 的漏洞。每一次，除了小心避開一些不良網站、停用 Flash 外掛程式、然後等待 Adobe 釋出更新之外，消費者能做的其實很有限。

因 Hacking Team 外洩事件而曝光的三個零時差漏洞已經突顯出 Flash 多麼容易存在著漏洞。假使像 Hacking Team 這麼小的公司 (員工總共 40 人) 都能挖到這麼重大的漏洞，那想像一下其他一些由政府在背後資助的團體將有多大能耐。先前我們只能猜測情況大概多糟，但現在我們已經清楚看到它有多危險。

在理想的世界裡，就 Flash 現在的狀況來看，真的必須淘汰。不是改用新的網站技術 (如 HTML5)，就是叫 Adobe 想辦法讓 Flash 變得安全。不過，這兩件事大概都不會發生。

Flash 就像煙癮一樣：即使我們知道它不好，但還是難以戒掉。儘管有風險，人們還是會繼續使用，因為光是安全的理由還不足以讓人放棄它。就網站的觀點，他們還是會繼續使用 Adobe Flash，因為成本較低，使用者體驗也較優。對使用者來說，因為他們經常上的網站仍在使用 Flash，所以還是少不了它。不論開發人員和使用者都得依賴 Flash，因此可以確定 Adobe Flash 還會繼續存活一段時間。

那麼，我們可以做些什麼？ 繼續閱讀

Hacking Team 使用 UEFI BIOS Rootkit 遠端遙控代理程式,重灌或換硬碟也沒用！

2015 年 07 月 17 日2015 年 07 月 17 日趨勢科技 TrendMicro

Hacking Team 資料外洩事件曝光的資料經過解析之後，目前又有重大發現：Hacking Team 會使用 UEFI BIOS Rootkit 來讓其遠端遙控系統 (Remote Control System，簡稱 RCS) 代理程式常駐在受害者的系統。也就是說，就算使用者將硬碟格式化並重灌作業系統，甚至再買一顆新的硬碟，其代理程式還是會在進到 Microsoft Windows之後自行重新安裝,允許客戶自遠端監控或掌控目標裝置。

他們甚至針對 Insyde BIOS (一個知名的 BIOS 廠商) 撰寫了一套專用程序。不過，同樣的程式碼在 AMI BIOS 上或許也能運作。

在 Hacking Team 資料外洩的一份簡報投影片當中宣稱，要成功感染目標系統必須實際接觸到目標系統，但我們還是不排除有遠端安裝的可能性。一種可能的攻擊情況是：駭客想辦法趁機操作目標電腦，將電腦重新開機以進入 UEFI BIOS 介面，然後將 BIOS 複製出來並且在 BIOS 中裝入 Rootkit，接著將 BIOS 更新回去，最後再將系統重新開機。

趨勢科技發現 Hacking Team 還針對其 BIOS Rootkit 的使用者開發了一套輔助工具，甚至當使用者遇到不相容的 BIOS 時還提供技術支援。

圖 1：Hacking Team 還提供技術支援。

Rootkit 的安裝過程如下：首先將外部的三個模組複製到已修改的 UEFI BIOS 中的一個檔案磁卷 (file volume，簡稱 FV)，例如在 UEFI 介面下從 USB 隨身碟複製。第一個模組是 Ntfs.mod，可讓 UEFI BIOS 讀/寫 NTFS 檔案。第二個模組是 Rkloader.mod，用來攔截 UEFI 的事件並且在系統開機時呼叫檔案植入模組 (dropper) 的函式。第三個模組是 dropper.mod，含有實際的代理程式，檔名為 scout.exe 或 soldier.exe。繼續閱讀

又來了!! Hacking Team 資料外洩添新的 Adobe Flash 零時差漏洞 (CVE-2015-5123)

2015 年 07 月 12 日2015 年 07 月 13 日趨勢科技 TrendMicro

以協助執行監控任務,出售間諜程式給各國政府與執法單位而備受爭議的Hacking Team公司,近日遭到攻擊，總量近400GB的公司內部文件,檔案程式等資料被公開。在此次洩露的文件中，包含了Hacking Team的客戶資料、財務文件、合約、內部E-mail郵件,根據報導維基解密（WikiLeaks）公布了Hacking Team內部超過100萬筆電子郵件，並提供了搜尋機制。其中包含了601筆與台灣相關資料。

在連續兩個 Adobe Flash Player 零時差漏洞因 Hacking Team 資料外洩事件而曝光之後，趨勢科技又發現了另一個 Adobe Flash Player 零時差漏洞 (CVE-2015-5123)。Adobe 在接獲我們通報之後已發布了一項安全公告。此漏洞的分類為重大漏洞，因為駭客一旦攻擊成功，就可能取得系統的掌控權。此漏洞的影響層面涵蓋 Windows、Mac 和 Linux 平台上的所有 Adobe Flash 版本。

問題根源分析

根據趨勢科技的分析，此漏洞一樣是valueOf 技巧所導致的問題。不過有別於前兩個 Flash 零時差漏洞的是，它利用的是 BitmapData 物件，而非 TextLine 和 ByteArray。

以下是觸發該漏洞的步驟：

建立一個新的 BitmapData 物件，準備好兩個 Array 物件，產生兩個新的 MyClass 物件，然後將 MyClass 物件分別指派至前面兩個 Array 物件。
覆寫 MyClass 物件的 valueOf 函式，然後呼叫 paletteMap 並傳入前述兩個 Array 當成參數。BitmapData.paletteMap 將觸發 valueOf 函式。
在 valueOf 函式中呼叫 dispose() 來釋放 BitmapData 物件的記憶體，導致 Flash Player 當掉。

目前趨勢科技正密切監控是否有任何駭客攻擊運用到這項概念驗證 (POC) 漏洞。一有最新消息或新的發現，我們會立即更新這篇文章。由於 Hacking Team 資料外洩事件已經廣為公開，因此使用者已有遭到攻擊的危險。所以，建議使用者暫時先停用 Adobe Flash Player，直到 Adobe 釋出修補程式為止。繼續閱讀