android app - 資安趨勢部落格

有後門功能的Android應用程式 ,埋伏在遊戲類應用程式

2013 年 02 月 21 日2013 年 02 月 22 日 Trend Labs 趨勢科技全球技術支援與研發中心

除了會替使用者訂閱不需要的服務還有會侵略性的派送廣告的惡意應用程式外，Android使用者也必須要小心那些有後門功能的應用程式。

雖然二〇一二年的主要惡意應用程式是加值服務濫用程式跟廣告軟體，但它們並不是Android上唯一的威脅。最近的頭條新聞有個關於殭屍網路/傀儡網路 Botnet運行在超過一百萬支智慧型手機上的報告，這正好說明了針對Android攻擊的多樣化，而且還沒有看到盡頭。

而在出現這些報告之前，我們從二〇一二年七月就開始看到這類型的惡意軟體，到目前為止實際偵測到4,282個樣本。趨勢科技所分析的相關樣本（趨勢科技偵測為ANDROIDOS_KSAPP.A，ANDROIDOS_KSAPP.VTD，ANDROIDOS_KSAPP.CTA，ANDROIDOS_KSAPP.CTB和AndroidOS_KSAPP.HRX）是從某第三方應用程式商店取得，但我們認為也可能出現在其他網站上。通常這些應用程式是放在遊戲類，有些會做成熱門遊戲的重新包裝版本。

我們所分析的第一批樣本是用相同的應用程式名稱，應該是來自同一家公司。

一旦這些惡意應用程式被安裝成功，它會連到下列的遠端網站以取得壓縮過的腳本程式，然後讀取這腳本程式：

https://{BLOCKED}y.{BLOCKED}i.com:5222/kspp/do?imei=xxxx&wid=yyyy&type=&step=0

https://{BLOCKED}n.{BLOCKED}1302.com:5222/kspp/do?imei=xxxx&wid=yyyy&type=&step=0
https://{BLOCKED}1.com:5101/ks/do?imei=xxxx&wid=yyyy&type=&step=0

需要解讀下載的腳本程式讓它比一般出現在Android上的殭屍網路/傀儡網路 Botnet惡意軟體更加複雜，因為惡意軟體可以透過新腳本程式來變更自己。

如上圖所示，這惡意軟體還會更新執行中的腳本程式，以避免被防毒軟體偵測。這個更新機制讓惡意軟體可以下載自身的新變種。遠端腳本程式還包含自訂指令，讓遠端攻擊者可以在受感染設備上執行。例如，應用程式可以執行測試用函數（代碼如下所示）：

解讀遠端腳本程式，可以用Java反射（reflections）安裝新的Java物件（如變數和函數），因此動態的遠端程式碼可以在本地端執行，這可能會導致其他惡意檔案的下載。為了提示使用者安裝這些檔案，應用程式會顯示通知列或彈跳視窗。下載這些檔案的使用者則不幸的會讓他們的設備受到更多惡意軟體感染。更不用說安裝ANDROIDOS_KSAPP變種可以讓遠端攻擊者控制使用者的設備，執行更多可怕的指令。

二〇一二年已經成為Android威脅的一年，而不僅是試試水溫而已。在我們的二〇一二年度安全綜合報導中提到，Android惡意軟體的數量成長到卅五萬，相對於我們在二〇一一年所看到的一千個行動惡意軟體，這是個跳躍性的變化。這成長讓人聯想到一般電腦上的威脅歷史，只是用更快的速度。如果這種趨勢繼續下去，我們預測今年惡意和高風險Android應用程式的數量將會在二〇一三年達到一百萬。繼續閱讀

《小三與情人們的手機間諜戰》追蹤手機位置與簡訊的Android間諜軟體下載次數高達10萬次,趨勢科技呼籲行動裝置安全不可輕忽!

2012 年 12 月 21 日2022 年 03 月 02 日趨勢科技 TrendMicro

報導指出高雄一名男子販售竊聽手機的抓姦軟體，遭警方查獲，沒想到交保後變本加厲，再加入「竊取帳號密碼」的新功能,推出可竊取臉書、電郵帳號密碼，及攔截 LINE 的「升級版」軟體，男子還可到府安裝。
高市一對三十多歲夫妻，因為太太晚歸，先生懷疑太太在外有「小王」，趁太太晚間回家洗澡時，偷拿太太的手機到樓下交給許嫌安裝竊聽軟體，太太的手機被植入之後，臉書、郵件，還有LINE的對話統統曝光。

=============================================================

【 台北訊】日前高雄市刑大偵獲的以中國網站販賣的智慧型手機間諜軟體進行監聽的新聞，再度引發社會大眾對於智慧型行動裝置安全以及相關惡意程式的關注。趨勢科技最新的安全研究報告指出，在第三季偵測到17.5萬個惡意程式，這些行動惡意程式的行為模式不外乎是監聽、濫用昂貴付費服務，竊取資訊以及發送廣告程式，目的多為駭客牟利。其中更包含具有追蹤手機位置功能且下載次數高達10萬次間諜軟體。趨勢科技呼籲民眾對下載行動APP持謹慎態度，更好的方法是安裝適合的行動安全防護，保障自己的隱私與個資安全。

追蹤電話與手機位置的間諜軟體下載次數高達10萬次

惡意行動應用程式滿天飛已不是新聞，趨勢科技於GooglePlay上發現許多熱門惡意應用程式，其中更有一款被下載超過10萬次的”Spy Phone Pro”的間諜程式，攻擊者一旦安裝該應用程式於特定目標手機後，便可透過網頁追蹤受害者手機位置、電話與簡訊。受害者於毫不知情的狀況下，個人隱私完全透明。

繼續閱讀

<惡意Android app>手機一直顯示”充電中~” 其實是下載的假太陽能充電應用程式默默在偷個資

2012 年 10 月 04 日2016 年 05 月 05 日趨勢科技 TrendMicro

ANDROIDOS_CONTACTS.E 惡意程式資料竊取行為分析

有一款假太陽能充電應用程式,用假正面評價騙取下載,卻附贈偷資料病毒:ANDROIDOS_CONTACTS.E 惡意程式。本文將深入探討該程式的運作方式以及歹徒如何從中獲利。

此次分析我們將選定「Solar Change」(太陽能充電) 這個 App 程式來做說明。我們發現這個 Android App 程式 (也就是我們偵測到的 ANDROIDOS_CONTACTS.E) 會從受感染的裝置蒐集一些聯絡資訊，如：電子郵件地址。駭客取得這些聯絡資訊之後，就能將這些資訊賣給一些專門從事犯罪攻擊或散發垃圾郵件的集團。

當使用者安裝這個 App 程式時，裝置會顯示該程式所要求開放的權限。若您仔細查看這些權限就會發現，該程式也要求取得裝置上儲存的詳細聯絡人資料及帳號清單。

權限	功能
android.permission.READ_CONTACTS	允許 App 程式讀取使用者的聯絡人資料
android.permission.BATTERY_STATS	允許 App 程式蒐集電池相關統計數據
android.permission.INTERNET	允許 App 程式建立網際網路連線
android.permission.READ_PHONE_STATE	開放手機狀態的唯讀權限
android.permission.GET_ACCOUNTS	允許存取「帳戶服務」當中的帳戶清單

不幸的事，這些權限一旦開放，就會讓 App 程式取得某些詳細資料，並且傳送給專門散發垃圾郵件的集團。

「Solar Charge」這個應用程式不僅會要求開放聯絡資料與帳戶服務的存取權限之外，此應用程式本身根本就沒有作用。它只會一直顯示「Charging」(充電中) 的訊息，並且假裝正在使用太陽能幫電池充電。在假裝充電時，還會出現另一個訊息說您的裝置不適用該程式。

就在假裝充電的過程當中，此 App 程式其實正試圖竊取使用者裝置上的詳細聯絡資訊和 Gmail 帳戶清單，然後傳送至遠端的某個伺服器。

「Solar Charge」一直顯示「Charging」(充電中) 的訊息，並且假裝正在使用太陽能幫電池充電。

繼續閱讀

美國 2012 年總統大選 App 程式可能導致資料外洩

2012 年 09 月 27 日2012 年 09 月 27 日趨勢科技 TrendMicro

趨勢科技在 Google Play 和某些第三方 App 應用程式商店發現四個 Android App 程式在安裝之後會不經使用者同意即存取某些裝置資訊，並且可能導致資料外洩。其中一個 App 程式目前已經從 Google Play 下架，但還是可以在第三方應用程式商店上找到。這些 App 程式是針對即將來臨的 2012 年美國總統大選與二位候選人：Mitt Romney 和 Barack Obama 而設計。使用者可免費下載這些應用程式。

第一個應用程式叫作：「Obama vs Romney」，這是一個 ANDROIDOS_AIRPUSH 變種，會連線至 airpush.com 這個行動裝置廣告網路網站。此 App 程式的說明頁面指出該程式可能會顯示一些廣告通知。趨勢科技發現，目前此 App 程式已在第三方商店上累積了 300 多次下載，並且 Google Play 上的下載次數估計也在 500-1000 之間。

此 App 程式原本的設計是用來做民意調查，讓使用者從二位候選人當中做出選擇。理論上它應該會立即顯示整體的民調結果。但是，根據趨勢科技的測試，它最終只會顯示一個訊息「you probably want to start clicking as soon as possible」(或許您應該盡快開始點按)。此外，這個 App 程式還會顯示一些來自 airpush.com 的惱人廣告，而且是出現在該 App 程式之外的地方。

該程式也會要求 ACCESS_COARSE_LOCATION (存取粗略定位) 權限，因此會讀取裝置所在 GPS 定位以及其他的資訊。

第二個 App 程式叫作「Captain America Barack Obama 1.0」(也就是趨勢科技偵測到的 ANDROIDOS_ADWLEADBOLT 變種)，它會在裝置上安裝一個 Barack Obama 3D 桌布與美國國旗。此程式已經從 Google Play 下架，但仍可在第三方應用程式商店上找到。該程式與「Obama vs. Romney」程式類似，會取得 ACCESS_COARSE_LOCATION (存取粗略定位) 及其他權限，因此能讀取裝置的 GPS 定位、CellID 與 Wi-fi 定位等資訊。安裝時，它會在裝置首頁畫面上建立一個捷徑。截至目前為止，此 App 程式已經在第三方商店上累積了 720 次下載。

最後二個 App 程式是「Barack Obama Campaign LWP 1」和「Mitt Romney Live Wallpaper 1」(二者都是我們所偵測到的 ANDROIDOS_ADWLEADBOLT 變種)。兩者都會要求 ACCESS_FINE_LOCATION (存取精細定位) 和 ACCESS_COARSE_LOCATION (存取粗略定位) 權限。

如同前面提到的 App 程式，這二個都會在裝置上顯示廣告。使用者可以點選某個 URL 來關閉這些廣告，但卻會因此洩漏裝置的國際行動裝置識別碼 (International Mobile Equipment Identity，簡稱 IMEI 碼) 與裝置類型資訊到前述網站。不過，使用者有可能不會注意到這個連結，因此仍會持續收到廣告。

繼續閱讀

偽裝成正常應用程式的Android廣告軟體越來越多

2012 年 09 月 14 日2012 年 09 月 10 日趨勢科技 TrendMicro

趨勢科技在八月的後幾週對幾個常見的Android應用程式商店的監測顯示，被偵測為ANDROIDOS_PLANKTON變種的應用程式數量在迅速地增加著。

ANDROIDOS_PLANKTON最初是由北卡羅萊納大學在兩個月前所發現的，因為它可以讓遠端使用者下載惡意檔案並執行指令而被注意著。這個發現也被稱為是「最大規模的Android惡意軟體爆發」，因為有數百萬應用程式含有類似PLANKTON的可疑程式碼。在我們的研究中，這類惡意程式的數量在8月19日至25日之間在Google Play上有所成長。

另一個從我們的監測中所看到值得注意的趨勢是，偽裝成正常應用程式的廣告軟體數量增加。廣告軟體會顯示多個廣告到被感染的設備上，好讓它的開發者獲取利潤。在這些網站上可以看到最多的廣告軟體是ANDROIDOS_ADWIZP，ANDROIDOS_AIRPUSH，ANDROIDOS_ADSWO，ANDROIDOS_LEADBOLT。