手機 - 資安趨勢部落格

偽裝成無線網路安全應用程式,RottenSys將 Android 行動裝置變成殭屍網路

2018 年 03 月 22 日2018 年 09 月 25 日趨勢科技 TrendMicro

報導指出一款名為「RottenSys」的惡意程式，透過植入廣告誘騙用戶點擊、牟取暴利，估計近 500萬台手機在上市前就被暗藏惡意軟體，包括華為、小米、OPPO 等中國廠牌手機都遭殃。本文深入解析RottenSys 。

2016年以來影響近 500 萬台的Android設備

安全研究人員發現一款被稱為 RottenSys 的廣告軟體（趨勢科技將其偵測為ANDROIDOS_ROTTENSYS），據報自2016年以來影響了近500萬台的Android設備。RottenSys是根據所分析的樣本命名，目前有316種變種，每種都根據攻擊活動，所針對廣告平台及散播管道來客製化。進一步對RottenSys進行研究後發現幕後操作者正在嘗試新一波的攻擊，會將受影響設備變成殭屍網路。

[TrendLabs研究：2017年的行動威脅環境]

偽裝成無線網路安全應用程式要求Android權限

RottenSys會偽裝成無線網路安全應用程式/服務並要求Android上的權限。在安裝之後，它會經過一段時間再去連接命令與控制（C&C）伺服器 – 這是RottenSys躲避偵測的手法之一。另一個作法是廣告軟體只包含一個不會執行惡意行為的植入程式（dropper）組件。以下是RottenSys的運作方式：

安裝之後，植入程式將與C&C伺服器連線。
C&C伺服器會發送執行活動所需的其他組件列表。它們是用DOWNLOAD_WITHOUT_NOTIFICATION權限取回，這代表著無辜的使用者不會收到警告。
RottenSys使用開放原始碼的Android框架，這框架可以讓所有組件同時執行（即在設備主畫面顯示廣告）。
RottenSys會利用一個稱為MarsDaemon的框架來保持程序活著。確保即使RottenSys程序被強制終止也能回復RottenSys的運作。

[來自TrendLabs安全情報：GhostTeam廣告軟體竊取Facebook帳密]

幕後操作者可以控制手機並秘密地安裝更多應用程式

MarsDaemon會影響手機效能並且會顯著地消耗電力。但除了造成對手機的耗損之外，研究人員發現RottenSys的幕後操作者在10天內就可以已經賺得了超過115,000美元。繼續閱讀

手機邊充電邊聽音樂,少女觸電身亡!切記三點防悲劇

2018 年 03 月 14 日2018 年 03 月 14 日趨勢科技TrendMicro

根據《每日郵報》報導，巴西一名17歲少女被家人發現倒臥不治，耳朵上還戴著熔化的耳機。警方初步判斷，少女邊聽音樂邊將手機充電，導致觸電。家人表示事發當時有發生打雷、閃電，詳細觸電原因還得要進一步調查。

另外,2015 年越南一名國三少女，睡前將智慧型手機接上電線充電，沒想到卻在睡夢中遭到漏出強烈電流電擊身亡，當時手中還握著燒焦的充電線，警方懷疑是充電器故障造成！相關報導: 窗外打雷、閃電！少女用手機聽歌觸電耳機熔化耳中身亡

看到這些一邊充電一邊使用手機而發生意外的事件，先不要太惶恐,其實大部分這類事件主要的肇事原因並不是因為一邊充電一邊使用手機所導致的，正常情況下手機充電時，電壓經手機充電器的變壓器調降後，只剩下五到十伏特，因此即使是手機漏電或充電器漏電，電死人的機率也很小，因此大多關於手機的危險事件往往是使用者的不良使用習慣所導致的，趨勢科技3C好麻吉為您提出與手機充電相關的三個安全建議:

繼續閱讀

跑步健身app Strava 路徑圖意外洩軍跡! 七習慣保護行動裝置

2018 年 02 月 23 日2018 年 08 月 02 日趨勢科技 TrendMicro

“與全世界運動愛好者交流”為定位的Strava 行動應運程式,號稱有數百萬名跑者與自行車手因為熱衷相同運動，而透過網路彼此交流聯繫。Strava 可以把iPhone 和 Android 手機變成跑步和騎車記錄系統,也能和 GPS 手錶和頭戴裝置搭配使用。這個號稱”全球最好的追蹤系統”,擁有強大的 GPS 定位技術，可記錄、分享用戶的運動路徑。但由於 Strava 的地圖資訊過於詳盡，可能讓使用該 app 的軍人不小心讓軍事基地等敏感資訊曝光。

根據一份報告指出，2017 年 11 月健身記錄應用程式 Strava 公布了一份其用戶能呈現出用戶所走過路徑地圖的熱區圖，其中包含了 10 億筆活動記錄、3 兆個經緯度定位點、13 兆個點陣像素，以及 10 TB 的輸入資料。但這個健身記錄應用程式卻也可能意外洩漏美國機密軍事基地、巡防及前線作戰基地 (FOB) 的位置。

美軍基地「清晰可辨並可在地圖上找到」

美國聯合衝突分析機構 (Institute for United Conflict Analysts) 創始會員 Nathan Ruser 率先在 Twitter 上批露此訊息。他指出，Strava 的熱區圖讓美軍基地「清晰可辨並可在地圖上找到」。不僅如此，Ruser 更找到了一個敘利亞境內的 Khmeimim 俄羅斯基地、土耳其軍隊巡防點、阿富汗前線作戰基地，以及士兵跑步健身路徑。Ruser 在 Twitter 上指出，基地位置曝光還不是唯一的令人擔心的問題。其中的「生活模式」資訊，才是這份熱區圖可能帶來的嚴重風險，因為許多人都未將資訊設為隱私。

根據 Strava 表示，使用者可根據其需求來調整隱私設定。例如，可在活動當中增加私密區域來隱藏使用者在某些區域開始或結束的活動 (如在家或在辦公室)，不讓其使用者看到。此外，還有一個選項可以關閉活動資料的匿名分享。

還可能擷取使用者姓名、檔案照片、心律資料等個資 繼續閱讀

安卓手機變成竊聽錄音機!駭客組織利用 PoriewSpy對 Android 用戶進行間諜攻擊

2018 年 02 月 06 日2019 年 12 月 03 日趨勢科技 TrendMicro

趨勢科技發現PoriewSpy惡意應用程式攻擊印度的安卓(Android) 使用者，發動攻擊的駭客團體先前曾對政府官員進行攻擊, 這些惡意應用程式自 2017 年底以來，就一直進行窺探和竊取資料的間諜攻擊事件。其背後的操作人員，可能與 2016 年發現的一個可疑網路間諜組織有關。

基於其命令及控制 (C&C) 伺服器的相似性，我們也懷疑，此駭客組織使用了以 DroidJack 或 SandroRAT (偵測為 ANDROIDOS_SANRAT.A) 建置的惡意應用程式。如果使用者的 Android 裝置安裝了這個遠端存取木馬程式 (RAT)，入侵者就能夠完全控制此裝置。

PoriewSpy 會將安卓裝置轉變成錄音機，用來竊取其他裝置的資訊

早在 2014 年，PoriewSpy 會竊取受害者裝置上的敏感資訊，例如簡訊、通話記錄、聯絡人、位置和 SD 卡檔案清單。PoriewSpy 也可以錄下受害者的語音通話內容。此惡意軟體是利用稱為 android-swipe-image-viewer 或 Android Image Viewer 的開放原始碼計畫所開發的，惡意軟體的操作人員修改了此計畫的程式碼，加入了下列元件：

權限
android.permission.INTERNET	允許應用程式開啟網路通訊端
android.permission.RECORD_AUDIO	允許應用程式錄製音訊
android.permission.ACCESS_NETWORK_STATE	允許應用程式存取網路相關資訊
android.permission.READ_SMS	允許應用程式讀取簡訊
android.permission.READ_LOGS	允許應用程式讀取低層的系統日誌檔案
android.permission.GET_ACCOUNTS	允許存取 Accounts Service 中的帳戶清單
android.permission.READ_CONTACTS	允許應用程式讀取使用者的聯絡人資料
android.permission.READ_CALL_LOG	允許應用程式讀取使用者的通話記錄
android.permission.READ_PHONE_STATE	允許對手機狀態進行唯讀存取
android.permission.WRITE_EXTERNAL_STORAGE	允許應用程式寫入外部儲存裝置
android.permission.READ_EXTERNAL_STORAGE	允許應用程式從外部儲存裝置讀取
android.permission.RECEIVE_BOOT_COMPLETED	允許應用程式接收在系統完成開機後廣播的 ACTION_BOOT_COMPLETED 訊息
android.permission.BATTERY_STATS	允許應用程式更新收集到的電池統計資料
aandroid.permission.ACCESS_FINE_LOCATION	允許應用程式存取精確定位 (例如 GPS) 的位置
android.permission.ACCESS_WIFI_STATE	允許應用程式存取 Wi-Fi 網路相關資訊
android.permission.ACCESS_COARSE_LOCATION	允許應用程式存取粗略定位 (例如 Cell-ID、WiFi) 的位置
android.permission.ACCESS_MOCK_LOCATION	允許應用程式建立用於測試的模擬位置提供者
android.permission.CHANGE_NETWORK_STATE	允許應用程式變更網路連線狀態
android.permission.CHANGE_WIFI_STATE	允許應用程式變更 Wi-Fi 連線狀態

圖 1：惡意軟體作者修改 Android Image Viewer 所加入的權限

服務
AudioRecord	主要間諜元件
LogService	用來收集日誌
RecordService	音訊錄製

繼續閱讀

高危險Android漏洞Janus, 攻擊者可繞過簽章,竄改APP

2018 年 01 月 03 日2018 年 01 月 05 日趨勢科技 TrendMicro

Android的2017年12月安全更新修補了一個嚴重漏洞，這個漏洞會讓攻擊者在不影響簽章的情況下修改已安裝的應用程式。讓攻擊者能夠存取受影響的設備（間接地）。研究人員在去年 7月首次發現這個漏洞（被指定為CVE-2017-13156，也被稱為Janus漏洞），受到影響的Android版本包括5.1.1到8.0；約有74%的Android設備安裝這些版本。

趨勢科技發現至少有一個應用程式使用了這技術。這特定應用程式利用此漏洞讓自己更難被行動安全軟體偵測。之後也可能用來侵害其他應用程式並存取使用者資料。