安卓 - 資安趨勢部落格

【手機病毒警訊】新一波Android間諜程式, 不只訊息看光光還竊取銀行帳密！

2018 年 04 月 25 日2018 年 09 月 25 日趨勢科技 TrendMicro

趨勢科技近期偵測到一波新網路攻擊，Android(安卓)惡意程式「ANDROIDOS_XLOADER.HRX」會透過入侵路由器篡改網域名稱系統設定（DNS）進行散播，推播假冒的通知訊息引誘受害者去惡意網域下載 XLoader惡意程式，並喬裝成 Facebook 或 Chrome 等正常應用程式，進一步竊取裝置上的包括身分識別與金融帳號密碼等個人敏感資料，不法人士瞄準了台灣、香港、中國大陸、日本和韓國等亞洲地區進行散播攻擊。

XLoader喬裝成Facebook或Chrome等正常應用程式，進一步竊取裝置上的包括身分識別與金融帳號密碼等個人敏感資料

XLoader既是間諜程式，也是銀行木馬程式，一旦受害者裝置遭到感染之後，XLoader 除了可以掌握到所有應用程式的相關資訊、推播訊息，還能偷看簡訊、暗中錄下語音通話。更令人擔心的是，其會建立一個臨時的網站伺服器以進行網路釣魚來騙取受害者的個人資料，為使受害者不易察覺，這些網路釣魚網頁甚至能根據裝置的設定來提供相對應的多國語言，包含中文、日文、韓文、英文等。它的惡意行徑眾多,以下列出部分:

發送簡訊
偷看簡訊
暗中錄下通話
啟用或停用 Wi-Fi 連線
蒐集裝置上的所有聯絡人資料
將裝置鈴聲模式設成靜音
取得詳細的手機連線狀態，包括使用中的網路和 Wi-Fi (不論是否有密碼)
強迫裝置回到主畫面
連上指定的網路
模擬某個撥號音
撥打指定電話號碼
取得裝置上所有應用程式的清單

趨勢科技提醒一般消費者，XLoader會利用系統管理權限來隱藏自己，並在暗中執行惡意指令，因此受害者幾乎不易察覺，呼籲使用者應養成正確的資安習慣，例如設定高強度密碼、定期更新及修補路由器韌體、啟用路由器內建防火牆、定期檢查路由器設定等方式來防範家用或企業路由器漏洞的威脅。也建議系統管理員和資安人員應妥善設定路由器組態來防範DNS快取汙染這類的攻擊。

此攻擊會先入侵路由器然後竄改 DNS 設定，進而將受害者導向駭客指定的網域。接著受害者會收到緊急通知，引誘受害者去惡意網域下載 XLoader。

採用多層式防護保護手機行動裝置資料與隱私

跨平台防護的PC-cillin 也同步支援 Android與 iOS行動裝置防護，可攔截上述相關惡意應用程式。除此之外，其多層式的防護也能守護裝置的資料與隱私，並且防範勒索病毒、詐騙網站以及身分盜用，有助於保障使用者安全。

PC-cillin 雲端版防範勒索保護個資 ✓手機✓電腦✓平板，跨平台防護３到位
》即刻免費下載試用

更多關於此事件的訊息請參考

手機鈴聲變成靜音?Android 間諜程式作怪! XLoader 偷打電話、看簡訊、暗中錄音,還會竊取銀行帳密

2018 年 04 月 25 日2018 年 04 月 25 日趨勢科技 TrendMicro

新 Android 間諜程式兼銀行木馬程式「ANDROIDOS_XLOADER.HRX」,正瞄準台灣在內的亞洲國家,此惡意程式會假冒成 Facebook 或 Chrome 之類的正常應用程式,竊取裝置上的個人身分識別資訊與金融相關資訊，並且會安裝更多應用程式。此外，XLoader 還會挾持已感染的裝置 (如發送簡訊) 並藉由裝置管理員權限來隱藏行蹤。每當受害裝置安裝新的程式套件或者螢幕裝置亮起來時，就會顯示一個網路釣魚網頁來試圖竊取受害者的個人資料 (如銀行帳號密碼)。此外,XLoader 會竊取簡訊內容，甚至暗中錄下語音通話。除了金融帳號,還會竊取感染裝置上的遊戲帳號資訊。為使受害者不易察覺，這些網路釣魚網頁甚至能根據裝置的設定來提供相對應的多國語言，包含中文、日文、韓文、英文等。

不僅如此，XLoader有可能將原本正常的應用程式換成重新包裝過的惡意版本,比如圖示假冒成 Facebook 和 Chrome 。它的惡意行徑包含: 發送簡訊、啟用或停用 Wi-Fi 連線、蒐集裝置上的所有聯絡人、將裝置鈴聲模式設成靜音、取得詳細的手機連線狀態，包括使用中的網路和 Wi-Fi (不論是否有密碼) 、強迫裝置回到主畫面、連上指定的網路、模擬某個撥號音、撥打指定電話號碼、取得裝置上所有應用程式的清單….等等。

Android 間諜程式與銀行木馬程式 XLoader 經由竄改 DNS 的手法散布

趨勢科技從三月初開始便偵測到一波新的網路攻擊，現在，這波攻擊正瞄準台灣、香港、中國大陸、日本和韓國。這些攻擊先利用網域名稱系統 (DNS) 快取汙染/竄改 DNS 的技巧 (有可能是利用暴力破解或字典攻擊來入侵路由器)，進而散布及安裝惡意的 Android 應用程式，趨勢科技將此惡意程式命名為「ANDROIDOS_XLOADER.HRX」。

此惡意程式會假冒成 Facebook 或 Chrome 之類的正常應用程式。經由被汙染的 DNS 網域發送通知到不知情的受害者裝置。這些惡意的應用程式會竊取裝置上的個人身分識別資訊與金融相關資訊，並且會安裝更多應用程式。此外，XLoader 還會挾持已感染的裝置 (如發送簡訊) 並藉由裝置管理員權限來保護自己，讓自己一直躲藏在裝置內。

圖 1：假冒成 Facebook 和 Chrome 應用程式 (框起來部分)。 繼續閱讀

AV-TEST 及AV Comparatives:趨勢科技行動安全防護力100%

2018 年 04 月 12 日2018 年 04 月 12 日趨勢科技 TrendMicro

如同 AV Comparatives的Android防毒比較報告（2018年1月）所顯示的， 趨勢科技行動安全防護 for Android連續第四年達到百分百的惡意軟體防護效果。在這次的獨立實驗室測試中，AV Comparatives對200多種行動安全產品進行對約2,000種惡意應用程式的防護測試，這項測試是因為實驗室發現有許多所謂的行動安全軟體徒有虛名，儘管在Google Play上擁有良好的使用者評論，卻只有很弱或根本沒有防護能力。趨勢科技行動安全防護除了提供100%的防護力外，而且也沒有出現誤報，它的防護等級超過其他知名安全應用程式（如Webroot、Cheetah Mobile、Lookout或 Malwarebytes所開發的安全應用程式），也超過了Google Play Protect（其保護等級僅為75.3% – 也就是比趨勢科技行動安全防護低24.7%）。

同樣地，趨勢科技行動安全防護也拿到AV-TEST的認證獎章，如同該實驗室的AV-TEST產品評鑑和認證報告（2018年1月）所顯示，趨勢科技行動安全防護for Android在對最新Android惡意軟體的即時測試中達到100%的保護，這項測試使用了2,766個惡意軟體樣本。事實上，對於2018年1月評比的四個禮拜測試期間所出現的最新Android惡意軟體也是一樣達到100%的偵測率。

在這些獨立實驗室測試中，趨勢科技行動安全防護攔截了約2,842個惡意軟體樣本，拿到了最高的6.0防護分數。此外，趨勢科技行動安全防護在可用性類別也取得了滿分的6.0分，這個類別著眼的是效能及安裝/使用Google Play商店或其他第三方應用商店的合法應用程式時所出現的誤報數量。

圖1、AV-TEST產品評鑑和認證報告 – 2018年1月

繼續閱讀

安卓手機變成竊聽錄音機!駭客組織利用 PoriewSpy對 Android 用戶進行間諜攻擊

2018 年 02 月 06 日2019 年 12 月 03 日趨勢科技 TrendMicro

趨勢科技發現PoriewSpy惡意應用程式攻擊印度的安卓(Android) 使用者，發動攻擊的駭客團體先前曾對政府官員進行攻擊, 這些惡意應用程式自 2017 年底以來，就一直進行窺探和竊取資料的間諜攻擊事件。其背後的操作人員，可能與 2016 年發現的一個可疑網路間諜組織有關。

基於其命令及控制 (C&C) 伺服器的相似性，我們也懷疑，此駭客組織使用了以 DroidJack 或 SandroRAT (偵測為 ANDROIDOS_SANRAT.A) 建置的惡意應用程式。如果使用者的 Android 裝置安裝了這個遠端存取木馬程式 (RAT)，入侵者就能夠完全控制此裝置。

PoriewSpy 會將安卓裝置轉變成錄音機，用來竊取其他裝置的資訊

早在 2014 年，PoriewSpy 會竊取受害者裝置上的敏感資訊，例如簡訊、通話記錄、聯絡人、位置和 SD 卡檔案清單。PoriewSpy 也可以錄下受害者的語音通話內容。此惡意軟體是利用稱為 android-swipe-image-viewer 或 Android Image Viewer 的開放原始碼計畫所開發的，惡意軟體的操作人員修改了此計畫的程式碼，加入了下列元件：

權限
android.permission.INTERNET	允許應用程式開啟網路通訊端
android.permission.RECORD_AUDIO	允許應用程式錄製音訊
android.permission.ACCESS_NETWORK_STATE	允許應用程式存取網路相關資訊
android.permission.READ_SMS	允許應用程式讀取簡訊
android.permission.READ_LOGS	允許應用程式讀取低層的系統日誌檔案
android.permission.GET_ACCOUNTS	允許存取 Accounts Service 中的帳戶清單
android.permission.READ_CONTACTS	允許應用程式讀取使用者的聯絡人資料
android.permission.READ_CALL_LOG	允許應用程式讀取使用者的通話記錄
android.permission.READ_PHONE_STATE	允許對手機狀態進行唯讀存取
android.permission.WRITE_EXTERNAL_STORAGE	允許應用程式寫入外部儲存裝置
android.permission.READ_EXTERNAL_STORAGE	允許應用程式從外部儲存裝置讀取
android.permission.RECEIVE_BOOT_COMPLETED	允許應用程式接收在系統完成開機後廣播的 ACTION_BOOT_COMPLETED 訊息
android.permission.BATTERY_STATS	允許應用程式更新收集到的電池統計資料
aandroid.permission.ACCESS_FINE_LOCATION	允許應用程式存取精確定位 (例如 GPS) 的位置
android.permission.ACCESS_WIFI_STATE	允許應用程式存取 Wi-Fi 網路相關資訊
android.permission.ACCESS_COARSE_LOCATION	允許應用程式存取粗略定位 (例如 Cell-ID、WiFi) 的位置
android.permission.ACCESS_MOCK_LOCATION	允許應用程式建立用於測試的模擬位置提供者
android.permission.CHANGE_NETWORK_STATE	允許應用程式變更網路連線狀態
android.permission.CHANGE_WIFI_STATE	允許應用程式變更 Wi-Fi 連線狀態

圖 1：惡意軟體作者修改 Android Image Viewer 所加入的權限

服務
AudioRecord	主要間諜元件
LogService	用來收集日誌
RecordService	音訊錄製

繼續閱讀

你用手機看電子郵件,使用FB、買東西、看影片、傳簡訊,駭客都有辦法知道!

2017 年 09 月 29 日2017 年 09 月 12 日趨勢科技 TrendMicro

威脅可能來自各種地方。可能是你剛登入沒有安全防護的公共無線熱點。或是你剛剛安裝的應用程式並非像它所聲稱的那樣。它可能隱藏在電子郵件的附件檔或是簡訊、即時通和社群媒體貼文內的連結。甚至可能潛伏在合法網站的惡意廣告內。

約有14億用戶的Android設備,讓網路駭客嗅到銅臭味,覬覦這個賺黑心錢的大餅，智慧型手機成為攻擊目標。根據諾基亞的統計，針對Android設備的攻擊佔去年行動設備攻擊的81%，而在10月，中毒設備也佔了所有設備的1.35%，這是前所未有的紀錄。我們的數位生活越來越依賴行動設備，智慧型手機在2016年激增400%，如果它們遭受壞人攻擊，最終的受損的還是消費大眾,問題已經迫在眉睫了。

Android惡意軟體濫打電話傳簡訊,還可遠端控制你的手機

開發人員很容易將應用程式上傳到Google的官方Play商店或世界各地眾多的第三方應用程式市場。但是這樣的開放性可能會帶來安全問題。儘管Google越來越嚴格地審查應用程式是否潛藏惡意內容，並且一旦發現就會將其移除，但你仍然可能會選擇和安裝到惡意軟體。

就在最近，研究人員發現了超過1000個帶有SonicSpy的應用程式，這是會劫持受感染設備來竊聽使用者的Android惡意軟體，或打電話和傳簡訊到付費服務號碼。至少有三個版本出現在Google Play上。最近的Android惡意軟體還有GhostCRL，它可以讓駭客遠端控制設備；以及MilkyDoor，它已經透過Google Play被安裝了100萬次。

不到3%的使用者使用最新最安全的 Android 作業系統版本

更新修補（安裝最新的安全更新）是保護電腦或行動設備降低中毒機率最簡單的作法。但在開放的Android生態系中，Google所釋出的修補程式安裝比例仍然偏低。Google在其最新的Android安全年度評估報告中指出，在2016年只有一半的Android設備已經被修補。雖然這已經比前幾年有所改善，但還是遠遠不夠。事實上，不到3%的使用者使用最新最安全的作業系統版本。

你用智慧型手機看電子郵件,使用社群媒體、買東西、看影片、傳簡訊甚至進行網路銀行交易,駭客都有辦法知道!

駭客知道我們用智慧型手機做一切事情，從看電子郵件和社群媒體、買東西、看影片、傳簡訊給朋友和進行網路銀行交易。這讓行動設備成為惡意軟體和社交工程詐騙的主要目標，為了竊取或誘騙我們交出登錄憑證和財務資訊。

為了從我們的手中拿走血汗錢，駭客們開發了一系列的工具和手段，包括銀行木馬、勒索病毒、間諜軟體、網路釣魚和付費服務簡訊惡意軟體。

威脅可能來自各種地方。可能是你剛登入沒有安全防護的公共無線熱點。或是你剛剛安裝的應用程式並非像它所聲稱的那樣。它可能隱藏在電子郵件的附件檔或是簡訊、即時通和社群媒體貼文內的連結。甚至可能潛伏在合法網站的惡意廣告內。繼續閱讀