Android - 資安趨勢部落格

“48小時內支付贖金，否則你手機上的所有資料將永久被破壞！”又一手機勒索軟體現身

2014 年 06 月 25 日2014 年 06 月 23 日趨勢科技 TrendMicro

Android勒索軟體利用Tor隱藏C＆C通訊

不久前我們介紹過不給錢就讓手機變磚塊!勒索集團威脅瀏覽色情網站 Android手機用戶,最近出現在行動威脅環境的勒索軟體現在有了新發展：利用TOR（The Onion Router）匿名服務來隱藏C＆C通訊。

根據趨勢科技偵測為AndroidOS_Locker.HBT的樣本分析，我們發現這惡意軟體會出現畫面通知使用者設備已經被鎖住，需要支付1000盧布的贖金來解鎖。該畫面還指出，不支付將會導致在行動設備上的所有資料被破壞。

我們所看到會出現這些行為的應用程式樣本出現第三方應用程式商店，盜用名稱像是Sex xonix、Release、Locker、VPlayer、FLVplayer、DayWeekBar和Video Player。使用這些名稱的非惡意版本應用程式可以從各種不同應用程式商店下載。

底下是顯示給使用者的警告訊息，使用的是俄文：

圖一、給使用者的警告訊息（點擊放大）

下面是警告訊息的粗略翻譯：

因為下載和安裝軟體nelitsenzionnnogo，你的手機已經依照俄羅斯聯邦軍事準則民法第1252條加以鎖住。

要解鎖你的手機需支付1000盧布。

你有48小時的時間支付，否則你手機上的所有資料將永久被破壞！

1.      找到最近的QIWI終端支付系統

2.      使用該終端機器，並選擇補充QIWI VISA WALLET

3.      輸入號碼79660624806，然後按下一步

4.      會出現留言視窗 – 輸入你的號碼去掉7ki

5.      將錢放入終端機，然後按支付

6.      收到付款後的24小時內，你的手機將會被解鎖。

7.      你可以透過行動商店和Messenger Euronetwork支付

注意：試圖自己解開手機會導致手機完全被鎖住，所有消失的資料沒有機會回復。

繼續閱讀

Google Play更新改變了權限模式，變得更令人駭怕

2014 年 06 月 24 日2014 年 06 月 24 日趨勢科技 TrendMicro

Google Play更新改變了權限模式，但不是變得更好

以前，如果一個應用程式更新需要新的權限，使用者必須明確地審查權限和加以允許，就彷彿是安裝新的應用程式一樣。但現在已不再是如此。現在，如果所要求的權限是使用者已經授予存取的同一群組，就不再需要另外批准。如果應用程式自動更新開啟，該應用程式可以在背景更新，而使用者不會意識到權限變更。

不給錢就讓手機變磚塊!勒索集團威脅瀏覽色情網站Android手機用戶 — Google Play更新改變了權限模式，變得更令人駭怕

手機作業系統（如iOS和Android）比桌面系統更加安全的原因之一是它們對應用程式權限有著非常強大的控制。每個應用程式向使用者和作業系統所要求的權限，理論上來說，僅限於它們所需的部分。

不過並非總是這樣。應用程式開發人員往往會要求比所需還要更多的權限；使用者不會總是加以注意，而且也幾乎會允許任何要求。儘管如此，權限系統雖不完美但可以接受，對於會特別注意應用程式權限的使用者來說，它還是個有用的工具來做些事情。

然而不幸的是，Google已經用很根本的方式來改變其Android的權限模型，顯著地降低使用者的可見性和易用性。它讓惡意應用程式開發人員有更多空間來更新他們的應用程式，將具備潛在風險的權限加到他們的應用程式。

這是如何做的？在各個Android論壇的開發者發現Google Play的更新（在五月中旬推出）也改變了對權限和應用程式更新的處理，而且不是用很好的方式。

以前，如果一個應用程式更新需要新的權限，使用者必須明確地審查權限和加以允許，就彷彿是安裝新的應用程式一樣。但現在已不再是如此。現在，如果所要求的權限是使用者已經授予存取的同一群組，就不再需要另外批准。如果應用程式自動更新開啟，該應用程式可以在背景更新，而使用者不會意識到權限變更。

這些權限群組都記錄在Android開發者網站。群組和功能種類有關；比方說，所有處理地理位置服務的權限都在同一群組。桌布相關的權限都在另一群組；處理儲存的權限又在另一群組。根據開發者文件的定義有31個群組，有13個在Google討論此一問題的常見問答中被明確地提出來。

原意是好的，它簡化了權限程序，讓它對使用者來說更加簡單。然而，它也可能非常地有問題。現在很容易就可以建立一個應用程式，一開始用明顯「無害」的權限，然後再整合潛在惡意行為所必需的權限。比方說，使用閃光燈和錄製聲音/影片是在同一群組。也就是說，一個手電筒應用程式可以很容易地更新成為一個錄音/監控的應用程式，而使用者不會注意到其改變。其他屬於同一群組的權限包括：

讀取外部儲存裝置的內容
修改或刪除外部儲存裝置的內容
格式化外部儲存裝置
載入或卸載外部儲存裝置繼續閱讀

Android應用程式內的漏洞,有個資外洩或被發動攻擊風險

2014 年 06 月 12 日2014 年 06 月 12 日趨勢科技 TrendMicro

趨勢科技最近發現一些Android應用程式內的漏洞可能會讓使用者的資料陷入危險或被用來發動攻擊。我們所調查的兩個受影響應用程式都很受歡迎：

超過一千萬次安裝及在下載頁面擁有數十萬筆使用者留言的生產力應用程式
超過一百萬次安裝及在下載頁面擁有數千筆使用者留言的購物相關應用程式

問題出在執行應用程式功能的特定Android元件。此元件有個屬性名稱為「android:export」，一旦設定為「true」，就可以讓此元件被其他應用程式執行或存取。這代表設備內安裝的其他應用程式可能可以去觸發其他應用程式的某些功能。這對於想和其他廠商的應用程式建立夥伴關係的開發者和廠商來說很方便，但從安全的角度來看，這也帶給了網路犯罪分子機會。

利用活動發動攻擊

可能有多種方法來利用此問題，取決於攻擊者的意圖和受影響應用程式的本質。舉例來說，在趨勢科技的分析中，我們發現購物應用程式的一個特定活動（當使用者進行購買時會顯示彈出式視窗）有可能會被利用來讓其他應用程式觸發。

此問題所代表的是惡意應用程式可以在購物應用程式內顯示彈出式視窗，並用來發動攻擊。攻擊者可以製作惡意應用程式來顯示導致惡意連結或其他惡意應用程式的彈出式視窗。

利用內容供應商竊取資訊

另一種利用此安全問題的可能方式是針對處理會關鍵資料的內容供應商，好加以收集。舉例來說，一個在生產力應用程式內儲存使用者輸入的內容供應商可能被用來擷取資料。繼續閱讀

新 Android 臭蟲讓手機變磚!!

2014 年 04 月 10 日2014 年 04 月 09 日趨勢科技 TrendMicro

建議不要從第三方應用程式商店下載軟體

趨勢科技最近讀到一個Android系統崩潰漏洞會影響Google的Bouncer服務。而令人擔憂地，這個漏洞也會影響到Android OS版本4.0及以上的行動設備。我們相信網路犯罪份子可能會利用這個漏洞來對Android智慧型手機和平板電腦進行實質性的損害。設備會進入無限重新啟動的迴圈。這可能會導致設備無法使用，其中一些可能就會「變磚」。

他們如何做到？

我們的分析顯示，第一次崩潰是因為視窗管理程式的記憶體損毀，這是應用程式用來控制給定螢幕位置和視窗外觀的界面。大量資料被放到Activity標籤，這是視窗都會有的視窗標題。

如果網路犯罪分子製造一個應用程式，內含具備巨大標籤的隱藏Activity，使用者根本不知道它會觸發這個漏洞。網路犯罪分子可以進一步地掩飾這漏洞，設定計時器來觸發會停止當前應用程式活動和打開隱藏活動的事件。當定時事件被觸發就會執行這漏洞，造成系統服務崩潰。這會停止行動設備的所有功能，並且該系統會被強制重新啟動。

更糟的情況是，當惡意軟體被設計成在設備啟動時自動執行。這樣會讓設備陷入無限重啟循環，無法再被使用。此時只有透過boot loader回復修補程序才可以解決，這代表所有儲存在設備內的資料（聯絡人、照片、檔案等）都會被刪除。

發現會崩潰一連串服務的臭蟲。

我們進一步的研究發現，除了WindowManager以外，PackageManager和ActivityManager也容易出現類似的崩潰漏洞。關鍵區別是當使用者設備安裝惡意漏洞攻擊應用程式就會馬上崩潰。請注意，這樣的漏洞攻擊應用程式並不需要任何特殊權限。

在AndroidManifest.xml檔案中，應用程式的標籤名稱可以在元素的「andoid:label」屬性設定，它可以是原始字串，而不只是字串資源的引用。在一般情況下，在AndroidManifest.xml聲明超長原始字串標籤的應用程式會無法安裝，因為Android Blender的交易緩衝區大小限制。但透過了ADB（Android Debug Bridge）這被許多第三方市場客戶端所使用的介面，就可以安裝這樣的應用程式，導致PackageManager服務立刻崩潰。繼續閱讀

Android客製化權限會洩漏使用者資料,上萬應用程式受此弱點影響

2014 年 04 月 08 日2014 年 04 月 07 日趨勢科技 TrendMicro

Anrdoid存取控制政策的關鍵部分是權限。要存取Android設備上的資源，應用程式需要請求並被授予特定權限。但是，除了作業系統所指定的權限外，應用程式可以定義自己的客製化權限。一般來說，這樣做是為了保護應用程式本身的功能或資料。

像這樣的客製化權限通常被定義在「Signature」或「signatureOrSystem」保護層級。這在Android開放原始碼專案（AOSP）文件內的定義為：

signature

當有應用程式要求此權限時，系統只會給於和宣告該權限的應用程式使用相同憑證的應用程式。如果憑證符合，系統會自動給予權限而不通知使用者或詢問使用者是否批准。

signatureOrSystem

當有應用程式要求此權限時，系統只會給於存在Android系統影像檔或是和宣告該權限的應用程式使用相同憑證的應用程式。請避免使用此選項，因為Signature保護層級應該足以滿足大多數需求，而且無論應用程式工作在哪裡都可以正常作用。signatureOrSystem權限只用在某些特殊情況，當有多個廠商內建應用程式到系統影像檔中，而且需要特別地去分享特定功能，因為它們是被一起建置的。

這讓Android開發者認為只有系統應用程式或擁有相同簽章的應用程式（可能是由同一個開發者所製造）才能夠存取這些權限。所以就可能不會加上額外的存取控制。但事實並非如此。

Android作業系統只用名稱來追蹤這些客製化權限。一旦權限被定義，其他的應用程式就無法進行修改。假設一個知名的應用程式「A」中用signature保護層級來定義權限permission-A用來保護自己的資料。但讓我們假設在安裝「A」之前，使用者就已經安裝了惡意應用程式B。如果B是設計來從應用程式「A」中竊取資料，它可以在「A」之前就先建立permission-A，然後應用程式「B」就有permission-A的權限。一旦應用程式「A」被安裝，「B」就擁有了能夠讀取應用程式「A」被保護資料的權限。

趨勢科技發現約有10,000個應用程式可能會受到此弱點的影響。我們不會透露有哪些應用程式有此弱點，但是趨勢科技快速檢查了有弱點應用程式後，包括了：