趨勢科技 TrendMicro – 第 656 頁

發現影響 99% Android 裝置的漏洞：趨勢科技行動安全用戶已安全無虞

2013 年 07 月 23 日2013 年 07 月 23 日趨勢科技 TrendMicro

稍早資訊安全研究人員披露了一個新的 Android 手機漏洞，該漏洞可能讓已安裝的 App 程式在使用者不知情的狀況下遭到竄改。幾乎所有的 Android 裝置都受到影響，因為此漏洞從 Android 1.6 (甜甜圈) 版本即已存在，目前僅有 Samsung Galaxy S4 修正了這項問題。

此漏洞 (有人稱之為「Master Key」金鑰漏洞) 吸引了大批媒體關注，但並非所有的媒體報導都正確。趨勢科技已經更新了「趨勢科技行動安全防護for Android中文版」來保護我們的使用者，但我們還是要特別在此澄清一下這到底是怎麼回事，這是什麼樣的威脅，以及使用者該做些什麼。

什麼是「Master Key」金鑰漏洞？

此漏洞與 Android App 程式的簽署方式有關。所有的 Android App 程式都內含一個開發廠商提供的數位簽章，用來證明該程式「的確」來自於該廠商，並且在傳送的過程當中從未被竄改。當 App 有新的版本時，除非新的版本也有來自於同一開發廠商的數位簽章，否則就無法更新。

此漏洞正是和這最後一個步驟有關。研究人員發現，歹徒即使「沒有」原始開發廠商的簽署金鑰，也能更新系統已安裝的 App 程式。簡而言之，任何已安裝的程式都可能被更新成惡意版本。

請注意，就技術而言，並沒有所謂的金鑰遭到外洩。當然，任何 App 程式都可能被竄改並用於惡意用途，但這當中並不是因為「金鑰」外洩。

有何風險？

此漏洞可讓歹徒將 Android 裝置上原本正常的 App 程式換成惡意程式。一些擁有許多裝置權限的 App 程式，如手機製造商或電信業者提供的 App 程式，尤其容易成為目標。

這類程式一旦進入裝置，它們的行為就像任何惡意 App 程式一樣，只不過使用者會以為它們是完全正常的程式。例如，一個遭到竄改/木馬化的網路銀行 App 程式，還是能夠像往常一樣運作，但使用者輸入的帳號密碼可能就會被歹徒所竊取。

使用者如何保護自己？

趨勢科技已經更新了「行動裝置應用程式信譽評等」資料庫來偵測專門攻擊這項漏洞的 App 程式，但目前尚未發現任何這類程式。儘管如此，我們已針對「趨勢科技行動安全防護」釋出了最新的病毒碼，確保我們能夠偵測專門攻擊此漏洞的 App 程式。(使用者只要更新到 1.513.00 或更新版本的病毒碼就能安全無虞，所有攻擊此漏洞的 App 程式都將偵測為 Android_ExploitSign.HRX。) 如此已足夠確保我們的使用者不受此威脅影響。

趨勢科技強烈建議使用者關閉安裝非 Google Play 來源應用程式的功能。這項設定在 Android 系統「設定」當中的「安全性」設定內。繼續閱讀

免費《怪獸大學》騙個資!!假影音網站熱門免費下載電影:《鋼鐵英雄》、《玩命關頭6》與《剛鐵人3》最多被駭人點閱

2013 年 07 月 18 日2013 年 07 月 22 日趨勢科技 TrendMicro

趨勢科技警告：2013第二季已有近1500個可疑影音連結成駭客釣魚工具

《鋼鐵英雄》、《怪獸大學》皆成釣個資誘餌;社群平台與搜尋引擎毒化為其散佈管道

趨勢科技在今年4月下旬到6月間發現超過1,500個號稱可以下載如《鋼鐵英雄》以及《怪獸大學》等強檔影片的影音連結，駭客在眾多知名社群平台張貼內含影音連結的訊息，或是透過Black_Hat SEO 搜尋引擎毒化 (簡稱 BHSEO)手段，將惡意連結放在搜尋結果首頁，搭配「線上觀賞電影」或「免費下載電影」等關鍵字吸引使用者點選，意圖騙取使用者個資。《鋼鐵英雄》、《玩命關頭6》與《剛鐵人3》是假影音網站中點閱率最高的三部詐騙電影誘餌。歹徒會經由各種社交媒體網站 (如：Facebook、Google+、Youtube、LinkedIn等等) 吸引使用者到假的影音網站。

根據趨勢科技於今年4月中旬到6月間蒐集的數據顯示，《鋼鐵英雄》以及《玩命關頭》最受駭客青睞，成為釣魚最佳首選。其他如暑期動畫《怪獸大學》和殭屍片《末日之戰》也榜上有名。

眾多熱門影片如《鋼鐵英雄》、《玩命關頭》皆成誘餌。

駭客散佈這些假影音連結的手法主要有二：

在Facebook，Google+，YouTube和LinkedIn等社群網站張貼內含連結的貼文，意圖透過分享機制增加該網站的曝光度與點閱率。

透過Black_Hat SEO 搜尋引擎毒化 (簡稱 BHSEO) 技巧，讓惡意網站於搜尋結果中名列前茅，再搭配「觀看」、「線上」、「免費」，以及熱門片名等關鍵字吸引使用者點選。

點選後可能被強迫下載內含惡意程式的影音播放軟體、有的使用者則被導向影音網站註冊或是填寫問卷調查網頁，前者意圖以惡意程式取得裝置內的資訊或擁有裝置掌控權，後兩者的手法則是以騙取個資為目的。

趨勢科技資深技術顧問簡勝財表示：「熱門電影或新上映電影總是駭客屢試不爽的攻擊釣餌，而好奇心是這類攻擊中最難被控管風險，卻是駭客是否能達成攻擊目的的關鍵，此類影音網站內容通常多為盜版或外流影片，建議使用者勿因貪圖便宜與方便性點選，進而因小失大。」

暑期強檔好片一向是影迷們最期待的，因為好萊塢最賣座的電影習慣上都會在這個季節上映。歹徒會竭盡所能地製作各種假的影音網站，而且不僅在電影的上映期間，在電影上映之前就會出現。

以下二張圖表分別顯示哪些電影是歹徒的最愛、還有這些網站都使用哪些網站空間。

圖 1：歹徒經常用來當誘餌的暑假強片

圖 2：假影音網站經常使用的網站空間

這類詐騙如何運作？網路犯罪者會引誘使用者下載視訊播放程式，或者透過合作連結引誘使用者在這些影音網站註冊。還有一種方式是將使用者導向傳統的問卷調查詐騙。

圖 3：假影音網站感染過程

歹徒會經由各種社交媒體網站 (如：Facebook、Google+、Youtube、LinkedIn等等) 吸引使用者到假的影音網站。這些網站會架設在一些部落格空間上，如：Tumblr、WordPress 及 Blogger。

繼續閱讀

花錢買粉絲?詐騙網站販賣Instagram粉絲

2013 年 07 月 17 日2013 年 07 月 17 日趨勢科技 TrendMicro

作者：Karla Agregado（詐騙分析師）

趨勢科技發現有個提供號稱可增加Instagram粉絲服務的網站,不過和之前的攻擊不同，這些網站需要付費，金額根據你所想要的粉絲數量而定。

圖一、Instagram粉絲價目表

儘管這網站使用大量的Instagram標誌，但它和這服務沒有關係。它提供一個訂購表格來要求使用者姓名、電子郵件地址、電話號碼和付費資訊。即使你試著用假帳號來填這表格，它還是會接受任何使用者所輸入的資訊。它甚至提供關於網站本身的資訊，還有常見問答網頁。

圖二、關於網頁

繼續閱讀

Pinterest密碼更新成功通知，一查看新密碼就中毒?!原來是網路釣魚

2013 年 07 月 16 日2013 年 07 月 12 日趨勢科技 TrendMicro

Blackhole 漏洞攻擊套件垃圾郵件侵襲 Pinterest

社交網站一向是網路犯罪者各種不同惡意活動經常使用的媒介，其手法大多利用網路釣魚（Phishing）和垃圾郵件(SPAM)。而 Blackhole 漏洞攻擊套件 (簡稱 BHEK) 垃圾郵件正是讓網際網路使用者困擾已久的此類攻擊之一。BHEK 垃圾郵件行動專門利用知名品牌與網站來誘騙使用者。

正因如此，最近看到 BHEK 垃圾郵件開始侵襲 Pinterest 網站與該網站的使用者，其實一點也不令人意外。該網站在遭遇這波攻垃圾郵件攻擊行動之前，就曾經遭受過其他威脅，例如問卷調查詐騙與專門將使用者導向惡意網站的垃圾郵件。

目前趨勢科技已採集到這波垃圾郵件的樣本，並且分析其感染過程，以下是整個感染過程的詳細步驟：

使用者的信箱收到垃圾郵件，垃圾郵件看起來就像 Pinterest 所發出的電子郵件通知，告訴使用者其密碼已變更成功，並且附上一個連結讓使用者查看新的密碼。
使用者若點選了該連結，就會被重導至一系列的網站，此重導程式碼就是趨勢科技所偵測到的 HTML_IFRAME.USR。
HTML_IFRAME.USR接著下載另一個惡意程式到系統上：TROJ_PIDIEF.USR，後者又在系統上植入 BKDR_KRIDEX.KA。這個最後植入的程式是一個後門惡意程式，能夠執行遠端駭客所下達的指令，使系統出現安全漏洞。繼續閱讀

隱私權與安全的決擇：雲端廠商能在兩者之間取得平衡嗎？

2013 年 07 月 15 日2013 年 07 月 12 日趨勢科技 TrendMicro

趨勢科技在 2013 年預測當中預測了網路犯罪者將會濫用合法的雲端服務來從事非法活動。很不幸的，這件事已經成真，而且就今日的局勢來看，情況不太可能好轉。

例如，我們看到一波垃圾郵件(SPAM)行動將 Dropbox 當成惡意程式的集散地。這並非合法雲端服務遭到惡意濫用的唯一個案，只是最近較引人注意的案例而已。

此問題並不僅限於單一熱門服務而已，其他諸如 Evernote 與 Sendspace 等網站也都曾經遭人濫用。我們不禁要問，這些服務是否能夠防止同樣的事件再度發生。不過，我們也聽到了另一種要求的聲音：隱私權。

今日的人比以往更在意自己的資料是否被政府看到，或者被服務供應商用於牟利。因此，人們會要求更多的隱私權。例如，對於雲端儲存服務廠商，人們可能會要求廠商不能知道他們在伺服器上存放了什麼檔案。對廠商來說，客戶的資料將只是一堆無法解開的機器碼，毫無意義。

但資料隱私與資料安全基本上存在著一些衝突。舉例來說，儲存服務廠商希望能防止其服務遭歹徒用於散布惡意程式，所以就採用了一些強大的軟體解決方案，如：檔案掃瞄、沙盒 (Sandbox) 模擬測試等等，來檢查所有上傳的檔案。先不論成本和伺服器規格必須因而提高，這樣的作法「還」可能被許多使用者視為一種監視行為。(在今日的氛圍下，這樣的指控很容易就能摧毀一家公司。)

另一種相反的情況是：廠商提供完全私密的儲存空間，「所有的」加密都在使用者裝置上執行，廠商對其網站上所儲存的內容全然不知。這樣服務肯定會被歹徒所利用，雖然雲端廠商必須滿足合法客戶對於安全與隱私權的要求，但卻會造就一套無法偵查使用者非法行為的系統。

當然，前述兩者都是極端的情況，不過卻也點出所有雲端供應商皆必須面臨的決擇。廠商必須找到一個符合其策略和商業模式的平衡點。然而，這就意謂其服務不可避免地會遭到某種程度的濫用，而且很可能被視為做生意的必然代價。繼續閱讀