「Sent from Yahoo! Mail on Android」:Android 平台 Yahoo! App 程式漏洞可能讓駭客散發垃圾郵件

就在一波疑似某 Android 殭屍網路/傀儡網路 Botnet垃圾郵件(SPAM)的報導出現之後不久,趨勢科技就發現了 Android 平台Yahoo! App 程式的漏洞,此漏洞可讓駭客利用遭入侵的 Yahoo! 帳號散發垃圾郵件。

第一波透過 Android 殭屍網路散發的垃圾郵件?

近日趨勢科技發現了多個專門散發假藥品網站連結或網路釣魚(Phishing)網站連結的郵件。這一波垃圾郵件之所以特別,在於訊息的簽名部分有著「Sent from Yahoo! Mail on Android」(從 Android 上的 Yahoo! Mail 寄信) 的字樣,而且信件的 Message-ID 欄位數值為「androidMobile」。根據報導,其 IP 位址顯示這些訊息來自於開發中國家的網路業者。

某些專家依據這些證據猜測,這些垃圾郵件(SPAM)散發者可能利用了被植入惡意 App 程式的 Android 裝置。不過,Google 駁斥了垃圾郵件是從 Android 殭屍網路/傀儡網路 Botnet散發的說法,並宣稱歹徒應該是使用已感染的個人電腦,並在信件當中假冒行動裝置的特徵來試圖躲避電子郵件過濾機制。 

第一波透過 Android 殭屍網路散發的垃圾郵件?
第一波透過 Android 殭屍網路散發的垃圾郵件?

 

就在最近,有人提出了另一種可能的情況。某些資訊安全研究人員推論,歹徒可能利用Android 平台Yahoo! App 程式的漏洞來入侵行動裝置並散發垃圾郵件(SPAM)。

歹徒可能利用 Adroid 平台的 Yahoo! Mail App 程式漏洞來散發垃圾郵件

不論這些訊息是從何而來,網路駭客是有可能利用 Android 平台的 Yahoo! App 程式漏洞來入侵 Yahoo! Mail 帳號然後散發垃圾郵件。事實上,趨勢科技最近在 Android 上的Yahoo! 郵件用戶端上發現了一個漏洞,此漏洞可允許攻擊者取得使用者的 Yahoo! Mail cookie。此問題來自於 Yahoo! 郵件伺服器和 Android 平台 Yahoo! 郵件用戶端之間的通訊弱點。在取得這個 cookie 之後,駭客就能使用已遭入侵的 Yahoo! Mail 帳號來散發精心製作的信件。此外,上述漏洞還可讓駭客存取使用者的收件匣和信件。 繼續閱讀

“電子郵件帳號被入侵,還好裡面沒重要的東西?! “事實上,裡面是大有東西在。

「網路安全?我不在乎這個東西,因為我的帳戶又沒有錢」,或是「他們要偷什麼?我的Facebook臉書帳戶嗎?我的電子郵件帳號登錄資料?那裡面根本沒東西呀。」你常常聽到這樣的說法嗎?

 「裡面沒東西」的電子郵件帳號被入侵,真的沒關係嗎?事實上,裡面是大有東西在。

 除了無法使用電子郵件的麻煩外,你其它帳戶的資料可能同時遭殃。因為控制了你的電子郵件帳戶,就能讓他們在許多的網站中「重設你的密碼」。很多人通常會將這些網站的「歡迎加入」的信件留存在收信匣中,其中包括了你的使用者名稱,有時還會有你的密碼。除此之外,你的電子郵件聯絡人也會被加入到垃圾訊息發送的資料庫中,結果你可能會(非直接地)大量散發垃圾訊息給朋友們。社交網路帳戶對網路犯罪份子們來說更加有用,因為除了掠奪你朋友們的電子郵件位址外,惡棍們還可以傳送不好的連結,試圖偷你朋友們的社交網路帳號。

密碼重設通知信,一旦落入歹徒手中,就不妙了
密碼重設通知信,一旦落入歹徒手中,就不妙了

 

 更甚的是,很多人在不同的帳戶上皆使用同樣的密碼(儘管這實在是個壞主意)。這表示你所有的帳戶皆可能受入侵,這就不是件好玩的事了。

 所以如果你還認為讓你非銀行往來類帳戶外洩是無關緊要的,那問題就是你自找的了。

@原文來源:Risks Behind Stolen Email Credentials Remain Unforeseen

✔想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁上按讚:http://www.facebook.com/trendmicrotaiwan

@延伸閱讀:

從 Yahoo 被駭事件,看如何降低線上服務資料外洩,對你帳號密碼的衝擊?(含歷年最駭密碼一覽表)
關於密碼千萬不要做的四件事與密碼設定小秘訣
你可能沒想過的密碼保護秘訣
從Hotmail 密碼外洩事件,看六種密碼被竊的手法(上)

我複製、貼上密碼,他在幕後接收!-從Hotmail 密碼外洩事件,看六種密碼被竊的手法(下)

 

 

【立即下載試用PC-clin 2012 雲端版 臉書地雷區 bye bye~

免費下載防毒軟體:歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻按這裡下載

@參考推文

雲端系!史上最強防毒軟體現身
看更多<PC-cillin真的不一樣>100字推文

◎ 歡迎加入趨勢科技社群網站

 

假 Android 版本Skype,安裝後簡訊爆量,帳單暴增

 隨著假Instagram、憤怒鳥上太空Farm Frenzy等惡意假應用程式的出現,我們最近看到有個網站會提供不同版本的假Skype行動應用程式給Android使用者。根據分析,這些應用程式實際上提供給舊Symbian版本或是可透過Java MIDlet來執行應用程式的Android設備。安裝之後,惡意軟體會在使用者不知情下發送訊息去訂閱加值服務。

 

惡意網站提供Skype應用程式給不同版本的Android
惡意網站提供Skype應用程式給不同版本的Android

 這個網站 – http://{BLOCKED}ndroidl.ru提供Skype應用程式給不同版本的Android。它的網址是代管在俄羅斯網域內,就跟之前看過代管Instagram、憤怒鳥上太空的網域類似。在分析的過程中,我們試圖下載上述的應用程式,但發現這應用程式下載來自其他網站 – http://{BLOCKED}mobile.ne

 

執行假 Skype 會出現的畫面
執行假 Skype 會出現的畫面

  繼續閱讀

從 Yahoo 被駭事件,看如何降低線上服務資料外洩,對你帳號密碼的衝擊?(含歷年最駭密碼一覽表)

 

利用便利貼記密碼是個好方法嗎?
利用便利貼記密碼是個好方法嗎?

 

根據Yahoo 遇駭事件,10大最駭密碼,多熟臉孔,其中「123456」踢下2011年奪冠的最駭密碼「password」,按照鍵盤位置排序的「qwerty」再度入圍。

當您在註冊線上服務時,您是否也會使用常見名稱、生日或容易猜到的數字組合來當密碼?您是否還在使用 123456welcome、甚至是 password 等簡單、容易記得的單字?您所有的線上服務是否都使用相同的密碼?

看看 2011 年爆發的一連串資料外洩事件,而且至今仍經常發生的情況,您所冒的風險就可想而知。七月中,Yahoo Contributor Network 服務平台有將近 50 萬筆使用者名稱和密碼失竊。就在前一天,Formspring 意見交流網站也發現自己有 420,000 筆使用者密碼失竊。去年六月,光是一個星期之內就有 LinkedIneHarmonylast.fm 等三家公司的數百萬筆使用者帳號密碼外洩。

我們曾多次不厭其煩地提醒您該如何挑選密碼:

失竊的 Yahoo 密碼長度大約都在 6 至 10 字之間。所以,將您的密碼設長一點。至少要 10 至 12 個字,如果是敏感的網站,例如網路銀行,則再設長一點。使用多個字組成的詞,而不是一個單字的密碼。 請參考Yahoo 雅虎遇駭,10大最駭密碼,熟臉孔過半

Yahoo被駭密碼

  1. 隨意組合多個無意義的字,千萬別用慣用詞。
  2. 別使用您在其他服務上已經用過的密碼,或是同一服務其他帳號的密碼。萬一網路犯罪者破解了您的密碼,而您所有服務都用同一個密碼,那您的資料就遭殃了。
  3. 使用趨勢科技可以免費試用趨勢科技DirectPass密碼管理 e 指通之類的密碼管理程式來輕鬆存取放在雲端的密碼。

不管如何,您的密碼管理系統不可能完全滴水不漏。最近發生的一些事件突顯了一項真正的風險:那就是服務供應商的資訊外洩問題。這就好像您在前門設置了各種高科技鎖,卻發現歹徒直接從後門進入,而且使用服務供應商極機密的萬能鑰匙。

當您的服務供應商發生資料外洩時,您該怎麼辦?

如果您已遵照了前述的第 3 條指示,您至少可以降低衝擊,不讓問題擴大到其他帳號。不過,只要聽到您在使用的某個線上服務發生資料外洩,您最好還是清除一切資料,並且重新設定密碼。

如需更多有關網際網路安全的技巧、建議與警示通知,只要在 Facebook 上的趨勢科技TrendMicro網頁按一下「讚」即可:www.facebook.com/trendmicrotaiwan

原文來源:How to Minimize the Impact of an Online Service’s Security Breach

@延伸閱讀

Yahoo 雅虎遇駭,前10大最駭密碼,熟臉孔過半

關於密碼千萬不要做的四件事與密碼設定小秘訣
你可能沒想過的密碼保護秘訣
從Hotmail 密碼外洩事件,看六種密碼被竊的手法(上)

我複製、貼上密碼,他在幕後接收!-從Hotmail 密碼外洩事件,看六種密碼被竊的手法(下)

 

Linkedin 被駭密碼被駭密碼

 

 

 

免費下載防毒軟體:歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻按這裡下載

 

◎ 歡迎加入趨勢科技社群網站