「Sent from Yahoo! Mail on Android」:Android 平台 Yahoo! App 程式漏洞可能讓駭客散發垃圾郵件

就在一波疑似某 Android 殭屍網路/傀儡網路 Botnet垃圾郵件(SPAM)的報導出現之後不久,趨勢科技就發現了 Android 平台Yahoo! App 程式的漏洞,此漏洞可讓駭客利用遭入侵的 Yahoo! 帳號散發垃圾郵件。

第一波透過 Android 殭屍網路散發的垃圾郵件?

近日趨勢科技發現了多個專門散發假藥品網站連結或網路釣魚(Phishing)網站連結的郵件。這一波垃圾郵件之所以特別,在於訊息的簽名部分有著「Sent from Yahoo! Mail on Android」(從 Android 上的 Yahoo! Mail 寄信) 的字樣,而且信件的 Message-ID 欄位數值為「androidMobile」。根據報導,其 IP 位址顯示這些訊息來自於開發中國家的網路業者。

某些專家依據這些證據猜測,這些垃圾郵件(SPAM)散發者可能利用了被植入惡意 App 程式的 Android 裝置。不過,Google 駁斥了垃圾郵件是從 Android 殭屍網路/傀儡網路 Botnet散發的說法,並宣稱歹徒應該是使用已感染的個人電腦,並在信件當中假冒行動裝置的特徵來試圖躲避電子郵件過濾機制。 

第一波透過 Android 殭屍網路散發的垃圾郵件?
第一波透過 Android 殭屍網路散發的垃圾郵件?

 

就在最近,有人提出了另一種可能的情況。某些資訊安全研究人員推論,歹徒可能利用Android 平台Yahoo! App 程式的漏洞來入侵行動裝置並散發垃圾郵件(SPAM)。

歹徒可能利用 Adroid 平台的 Yahoo! Mail App 程式漏洞來散發垃圾郵件

不論這些訊息是從何而來,網路駭客是有可能利用 Android 平台的 Yahoo! App 程式漏洞來入侵 Yahoo! Mail 帳號然後散發垃圾郵件。事實上,趨勢科技最近在 Android 上的Yahoo! 郵件用戶端上發現了一個漏洞,此漏洞可允許攻擊者取得使用者的 Yahoo! Mail cookie。此問題來自於 Yahoo! 郵件伺服器和 Android 平台 Yahoo! 郵件用戶端之間的通訊弱點。在取得這個 cookie 之後,駭客就能使用已遭入侵的 Yahoo! Mail 帳號來散發精心製作的信件。此外,上述漏洞還可讓駭客存取使用者的收件匣和信件。 繼續閱讀

手機應用程式Sexy Ladies-2.apk是益智遊戲,還是廣告點鈔機?

 

 

將搜尋貨幣化是行動平台上的新威脅

 

 

 

 

一份報告,提到許多內嵌Plankton變種的應用程式出現在Android market上。趨勢科技的研究樣本之一是個益智遊戲 – Sexy Ladies-2.apk,它跟許多相關的應用程式都被偵測為ANDROIDOS_PLANKTON.P

 

其他的外部報告則表示有數百萬份被下載的應用程式裡含有類似的可疑程式碼,所以稱它為「有史以來最嚴重的Android惡意軟體擴散」。這份報告裡所分析的應用程式是一個益智遊戲。它會啟動一個服務來建立捷徑,取得/設定書籤,將手機資料送回它的伺服器(包括IMEI、品牌、設備型號、作業系統、作業系統版本、解析度、語系),設定通知,還有設定瀏覽器首頁。

 

趨勢科技認為可以將這應用程式歸類為廣告軟體,因為它看來是用以散佈廣告的。更合適的稱呼可能是「行動應用程式廣告軟體(Mobile App Adware)」。一開始它還提供軟體開發套件(SDK),讓人可以從各種手機軟體發佈網站來合法下載。這個應用程式的基本功能正如同它所聲稱的:安裝搜尋捷徑,透過這應用程式來提供廣告。並不會發送任何個人資料到外部伺服器。總之,它原本是個用來賺錢的廣告服務,讓應用程式開發人員可以從他們的免費軟體賺到更多的錢。這是最基本的將搜尋貨幣化模式。

 

「行動應用程式廣告軟體」

 

從這點來看,它是「行動應用程式廣告軟體」的最佳例子。它的運作模式就是將SDK整合到應用程式裡,好讓合法下載也可以帶來收入。在今日的內容服務業務和行銷模式裡,這和在桌上平台所做的事情是幾乎一模一樣的。

 

趨勢科技威脅回應工程師Erika Mendoza補充說:「想到廣告網路,我覺得現在很多應用程式都含有類似的程式碼,這種手機廣告軟體算是有侵略性,但是要認定這類惱人行為是否為惡意,仍然取決於使用者。」

 

Lookout Mobile Security研究人員則不認為這種行為是種惡意軟體攻擊,它比較算是「侵略性的廣告網路。」我們同意他們所說的,這本身並不是惡意軟體。但是,這問題牽扯到行動資訊被如何收集和儲存。而且還有潛在的隱私問題。這些使用者在今日或許並不清楚,而很久以後才出現影響的。

 

對於安裝應用程式來說,保留安裝時所取得的權限,還有跟社群網路或其他互動的能力都是很常見的。這些設定即使應用程式被刪除後都還會被保留,好作為重裝時的預設值。在現實裡,有太多應用程式被下載,有各種不同的下載目的,有著各種不同的使用者設定,所以要追查的話實在有太多變數了。

 

趨勢科技會繼續地提供相關潛在威脅的資訊。不過還是要靠使用者自己可以小心的判斷是否要去下載應用程式 繼續閱讀

安裝手機應用程式前要注意的三件事

說到手機應用程式使用者體驗的好壞,跟所需要輸入的個人資料數量有直接的關係。而現在,我們處在一個「後隱私時代」,人們需要知道他們將個人資料輸入手機應用程式的好處與壞處。

開發人員不斷努力地改善手機應用程式,使得這些應用程式已經佔據了我們生活很大的一部分。讓事情變得更加簡單方便,帶來更多樂趣:應用程式可以幫我們組織我們的工作,讓我們一眼就可以了解所有的最新資訊,也讓我們可以從切水果或殺綠色小豬中得到許多樂趣。

趨勢科技研究人員Robert McArdle還解釋,手機應用程式提供了使用者更好的使用者經驗。他指出:「另外一個讓手機應用程式如此流行的重要原因是易用性。在手機上瀏覽網頁和在筆記型電腦上的感覺是不一樣的。大多數情況下,手機應用程式會為特定網站來特製瀏覽介面。」

輸入手機應用程式的使用者資料數量已經變成眾所皆知的隱私問題,這也是最近因為關於手機應用程式Carrier IQ的真正問題而被熱烈討論的話題。正如我們之前提過的,Carrier IQ最大的問題是沒有取得同意。對於手機應用程式來說,這是非常重要的,當使用者安裝應用程式之前,必須先確認到底這應用程式會取得哪些資訊。所以對於手機應用程式來說,到底要不要志願提供資料去換取服務的選擇權應該還是在使用者手上。

為了幫助使用者做決定,趨勢科技列出三件事實是使用者在安裝手機應用程式和提供個人資料前可以先好好想一想的:

1.如果給了手機應用程式越多資訊,出事的後果也會越嚴重 

 手機應用程式已經客製化了,這些程式的設計就是依據使用者輸入的資訊來運作。有些跟所在地有關的應用程式,像是ShopkickFoursquare就是很好的例子。這樣的手機應用程式已經成為了2011年的科技發展趨勢,並預計會在2012年繼續延續這熱潮。

像這樣的應用程式,唯一合邏輯的是在使用者登入時來要求資訊。而且當然所要求的資訊也是有限度的,僅限於讓應用程式可以正常運作所必要的部份。Android的「權限」設定也是相同的概念,也是使用者需要好好運用的地方。

也有些情形是,這些資訊並不是應用程式運作所必須的東西,但卻能提供吸引使用者的功能。比方說有些手機應用程式會要求使用者連結他們的社群網路帳號,可以將應用程式的動態資訊分享給他們的朋友。在這時候,使用者要記住,如果他們給了應用程式越多資訊,出事的後果也會越嚴重。這也帶入了我們的第二件事實:

2.手機應用程式的開發者可能會將部分服務外包,因此可能會有其他第三方公司能存取這些資訊
使用者資訊在今天的威脅環境裡是一種商品,這也讓你在任何地方分享訊息都會有風險,不僅僅是在手機應用程式上。這些風險大多來自於未經授權去存取使用者的個人資訊。因為如此,對使用者來說,重要的是弄清楚從這應用程式所得到的服務是否值得這風險。

另外一件使用者必須了解的是,這些應用程式的開發公司可能會將部分服務外包,因此可能會有其他第三方公司能存取這些資訊。這是從Epsilon事件中所能體認的事實,還有從最近的Carrier IQ事件。

3.開發者的信譽很重要 ,如果你對於提供敏感資料有任何疑慮的話,就不要做

對使用者來說,誰能處理他們的個人資料將是主要關心的問題。舉例來說,Android是一個非常開放的平台,允許許多開發人員將他們的作品上傳到Android Market上,因此使用者需要小心的去選擇誰值得信賴去交付自己的資訊。

 

我們認為使用者需要體認到最重要的事情是,他們是為自己的個人資料跟設備負起最終責任的人。手機應用程式的確帶來很大的方便,但同時也存在一定的風險。有些風險是使用者沒有充分了解,或是選擇去忽略的。Android的「權限」模式就是要讓使用者知道應用程式會存取的資訊,但這些常常都會被忽視。

 在今後,Robert提醒使用者在輸入資料給任何應用程式前都要先認真考慮。「重點是,在提供任何資料給應用程式之前先想一想。遊戲軟體是否真的需要你的社群網路登錄資料,只為了讓它去聯絡你的朋友?你會因為開發者要求,就一樣的將帳號資料用電子郵件傳給他們嗎?如果你對於提供敏感資料有任何疑慮的話,就不要做」。

 使用者不需要放棄由應用程式提供的服務,只因為他們需要提供使用者的個人資料。但他們應該要了解有關的風險,並準備好保護他們的資料。想知道更多相關的資訊,請參考我們的行動威脅資訊站

 

相關資料:

 

@原文出處:3 Truths about Mobile Applications 作者:JM Hipolito

TMMS 動新聞.PNG

手機防毒不可不知 (蘋果動新聞 有影片)

@開箱文與評測報告

防毒也防失竊趨勢科技行動安全防護軟體測試

[評測]趨勢科技行動安全防護for Android

TMMS 3.75 Stars in PC World AU
@延伸閱讀
2011年回顧:手機病毒
深入探討中國的Android第三方軟體商店
中國第三方應用商店提供下載的手機間諜軟體
專門設計給手機瀏覽的惡意網站:偽裝成 Opera Mini 瀏覽器的行動裝置惡意程式
日本色情業者利用行動條碼(QR Code)誘騙付費Android智慧型手機的惡意程式,半年內增加14.1倍
Android木馬應用程式 :木馬幫你手機申購加值服務
保護你的Android智慧型手機5步驟
Android app 惡意程式:愛情測試、電子書閱讀器、GPS 定位追蹤等應用程式夾帶病毒
手機成竊聽器!!冒充Google+ 圖示,駭你全都露

木馬化的Android 金幣海盜(Coin Priates)遊戲 監控回傳特定關鍵字簡訊

針對中國移動用戶的Android惡意軟體

 

◎ 歡迎加入趨勢科技社群網站

2011下半年 Android 手機威脅月平均成長率高達 60%

趨勢科技 曾發表了Android智慧型手機的惡意程式,半年內增加14.1倍,文中提到木馬化的 Android 應用程式與專門鎖定 Android 平台攻擊的惡意程式在數量上已大幅增加。

趨勢科技2012 年12項資訊安全預測一文當中,我們提到智慧型手機和平板電腦平台,尤其是 Android,將遭遇到更多網路犯罪攻擊。

經過趨勢科技連續的監控,我們發現這項威脅的成長速度已到達令人警覺的程度。Android 惡意應用程式在 2011 年初還寥寥無幾,到了 12 月中就已竄升到一千多隻。2011 年下半年的月平均成長率高達 60% 以上。

如果這樣的成長速度持續到 2012 年,那麼,今年肯定是 Android「非常刺激」的一年。此話怎講?因為,若按照目前的趨勢不變,到了今年 12 月,我們將看到 120,000 隻以上的 Android 惡意應用程式。

 

這股爆炸性成長力道的背後有幾項主要因素:

  • Android 手機的普及率不斷上升:這一點從下載程式總數 (根據 Android Market官方的數據已突破100億) 以及使用者數量和軟體啟動次數 (如Gartner 和 Google 資深行動部門副總裁 Andy Rubin所提供的數據) 即可略知一二。 繼續閱讀

惡意Android應用程式:看成人影片不付費,威脅公布個資

趨勢科技之前報導過針對智慧型手機使用者的誘騙付費攻擊(one-click billing fraud)。這種攻擊,顧名思義地就是會將使用者導向特定網站之後,誘騙他們去註冊並支付特定的服務。之前我們所看過的攻擊,會有一個網站要求目標使用者支付一定的金額,以避免自己的資料被送到一個成人網站。

趨勢科技最近發現一個類似的騙局,但這次它是經由一個惡意應用程式來專門針對Android的使用者。

這次的攻擊是從一個提供電玩影片的部落格網站開始。這個部落格稱為「Game Dunga」,在過去已經變更過網域三次了。在之前的版本,它放了許多電玩影片的連結(不只是成人內容)。但是現在的版本(第三代)只有成人內容的連結。

 

繼續閱讀