iPhone - 資安趨勢部落格

Yispectre惡意程式感染中國和台灣：就算不越獄的 iPhone 也不一定安全

2015 年 10 月 21 日2015 年 10 月 22 日趨勢科技 TrendMicro

就在 XcodeGhost 攻擊事件爆發之後沒多久，緊接著就出現了一個名叫「YiSpecter」的最新惡意程式，專門感染 iOS 裝置。根據報導，此惡意程式可自行安裝在已越獄或未越獄的 iOS 裝置。YiSpecter 是第一個利用 Apple 非公開 API 漏洞的 iOS 惡意程式，駭客經由官方的 App Store 來進入 iOS 裝置 (不論裝置是否已越獄)。研究人員發現此惡意程式已經在外活躍將近 10 個月，絕大多數受感染的使用者都在中國和台灣。

[延伸閱讀：利用暗藏惡意程式的 Xcode 開發工具感染 iOS 應用程式]

YiSpecter 利用了獨創的自我散播技巧。其蹤跡最早可追溯至 2014 年 11 月，此惡意程式的散布方式之一是偽裝成網路色情視訊串流程式。此外，它還會藉由下列方式來散布：攔截來自國內 ISP 的流量、離線安裝應用程式、一個 Windows 裝置的社群網路蠕蟲，以及經由社群推薦。此惡意程式利用企業憑證和非公開 API 來躲過 Apple 的應用程式審查流程。

此惡意程式一旦進入 iOS 裝置，就能繼續下載、安裝、啟動其他應用程式，此外還會取代現有的應用程式、攔截廣告、修改瀏覽器預設搜尋引擎，並且上傳裝置資訊到幕後操縱 (C&C) 伺服器。而且，研究人員更發現，即使是手動刪除該惡意程式，它也還會再自己出現。

根據 Apple 最近發表的聲明：

「此問題只會影響使用舊版 iOS 並從非可靠來源下載了惡意程式的使用者。我們已在 iOS 8.4 當中解決了這個問題，同時也封鎖了散布此惡意程式的應用程式。我們鼓勵客戶應隨時更新到最新版的 iOS 系統來獲得最新的安全更新。此外，也鼓勵客戶務必僅從可靠來源 (如 App Store) 下載應用程式，並且留意下載時所出現的任何警告。」繼續閱讀

iPhone 刪除的照片,竟還留在 iCloud ? 再談女星雲端裸照外流事件

2014 年 09 月 24 日2016 年 05 月 19 日趨勢科技 TrendMicro

從 iCloud 疑遭入侵,好萊塢 A 咖女星裸照外流事件,學到的五件事的文章中,提到刪除並不一定真的代表刪除，如同下圖受害者所發現的一樣。如果你還以為從自己的手機刪除照片就可以了，那麼推薦你看這一篇文章。

作者：Vic Hargrave (趨勢科技資料分析軟體架構師)

當我聽到有明星因 iCloud 帳號被駭客入侵而使得自己的裸照被上傳到匿名分享網站 AnonIB 時，我其實一點也不覺得意外。不過，雖然將這麼私密的資料儲存在雲端原本就是一項冒險行為，但對於這些明星的尷尬處境我也深表同情。畢竟，照片是因遭人竊取才會外流，並非個人意願。就我來看，行動運算與雲端儲存的便利性在這件事上也要負擔部分責任。你很容易就可能建立一個密碼強度不足的雲端儲存帳號。視你的行動 App 程式而異，有時照片、音樂、文件或任何其他資料會在背後自動上傳至雲端，而你並不會留意。

一旦你的檔案上傳到雲端，你手機上的相簿就不一定會和你雲端上的相簿同步。我覺得許多使用者並不了解他們的資料到了雲端會怎樣，甚至是資料怎麼上傳到雲端的。

單純只是另一個雲端破解案例

就目前看來，應該是有一名叫作「OriginalGuy」的駭客入侵了明星的 iCloud 帳號並竊取照片。駭客攻擊的第一步是利用蘋果「我的 Apple ID – 建立一個 Apple ID」這個用來建立新帳號的網頁，在網頁上輸入一些可能的電子郵件來猜測受害者 iCloud 帳號的電子郵件地址。

如果某個電子郵件地址已有人使用，該頁面就會請使用者輸入其他可用的電子郵件地址。如此一來，駭客就知道某個電子郵件地址是否有人使用。接著，他就試圖用這個電子郵件地址來登入，不論是用猜測的密碼或是使用密碼破解程式。假使帳號的密碼強度不足，歹徒就不難猜到。這項技巧不光只適用於 iCloud 服務，也適用於 Box.com、DropBox 以及其他任何在建立帳號時能讓駭客知道某個電子郵件是否有人使用的服務。

行動資料分享或許太過容易

我所見過的大多數行動雲端儲存 App 程式都能讓你將智慧型手機中的照片自動上傳到雲端儲存。若你有多個這類帳號，你就很容易不知道哪些相片在何時被上傳到哪個雲端儲存。

最近我發現，當我用 iPhone 拍照時，照片會透過 WiFi 連線或是在我手機接上筆電的 USB 連接埠時自動上傳到我的 DropBox 帳號。我不記得自己曾經在 DropBox App 上做過這樣的設定，這樣的現象似乎是某一天自己突然開始。有可能是我某一次更新 DropBox 之後才開始，也可能是我不小心開啟了這項功能。不過每當它發生時，不論是我的動作結果或是軟體的運作結果我都不曉得。

這才是重點：身為一個每天都要接觸電腦科技、行動裝置等等的軟體工程師，我自認是個相當熟悉科技的人。但我竟不曉得自己的智慧型手機是如何開啟這項照片自動上傳至 DropBox 的功能。

我必須自己到手機應用程式設定當中手動關閉這項「功能」，就連我們這種熟悉技術的人都還如此，也難怪那些生活忙碌的電影明星會不知到自己的照片被上傳到雲端。繼續閱讀

智慧型手機一定要用密碼上鎖? 從女孩在伊維薩島裸泳時iPhone被偷談起

2013 年 08 月 29 日2013 年 09 月 02 日趨勢科技 TrendMicro

作者：gboyle

使用密碼來鎖住智慧型手機等行動設備。這看起來似乎很直覺也很簡單。但根據業內人士的估計，有介於30％和60％的人不用密碼鎖住他們的智慧型手機。因為對大部分人來說，「行動」代表的是方便而非謹慎,像是密碼雖然只是簡單的小事，不過就是嫌麻煩。一個簡單的事實是，人們遺失手機，不管是掉了還是被偷，最終結果都一樣:手機握在別人手上。

如果不用密碼鎖定，那你很可能會被盜打，而費用都算在你身上（太糟糕了，如果這小偷有個朋友在歐洲）。也會為個人資料的外洩打開大門。

一個最近流傳的故事，有個女孩在伊維薩島裸泳時iPhone被偷了，她就將小偷照片貼到部落格上以作為報復。很顯然地，小偷用她的手機拍照，而照片被上傳到她還可以存取的線上服務。這聽起來很好笑，對吧？其實並不！繼續閱讀

當你的手機等行動設備被偷時該怎麼辦?

2013 年 01 月 21 日2013 年 08 月 29 日趨勢科技 TrendMicro

小編曾做過一個調查手機中毒,手機遺失,你比較擔心哪一個?,投票結果有 6 成的人比較擔心手機遺失,以下文章我們就來看看這個掉了手機的實際案例,如果是你你會怎麼辦呢?

當你的手機等行動設備被偷時該怎麼辦?

作者：Michael Ricigliano

是的，就發生在我身上。我的iPhone 4S被偷了，就在感恩節週末的家庭出遊路上。

事情就發生在轉眼之間。當我在三明治店幫我小孩清理時，這也是小偷最佳的行動時間。我知道是「他」，因為店家有人發現了，但在要採取行動的時候，這混蛋就一溜煙的跑了。然後他們也承認看到了整個經過。唉〜

從過去的歷史來看，我並不是個容易掉東西的人。我還在用幾十年前發給我的那張舊舊社會安全卡，並且用著在1979年所買的鑰匙圈，所以我對個人財產被侵犯的感覺特別強烈。我特別生氣的是才剛剛拍了一堆我的孩子和家人的照片，但卻還來不及備份我的iPhone就不見了。這些已經永遠不會再回來了。我知道，而且讓我很痛心。

結果

在絕望又憤怒下，我太太和我將所有東西都堆到我們的廂型車上繼續開。她建議我用她iPhone上的「尋找我的iPhone 」應用程式，看能不能追踪到我的手機。「我們會去抓到這傢伙的！」她用著她典型的「就這樣做」語氣講著。我也真的要去拿她的電話了，不過後來我想到車上載滿了小孩，他們不該看到老爸和一個該死的罪犯在加州薩利納斯的某個停車場扭打起來，所以我放棄了這想法。

不過我還是用她的iPhone撥了611，通知AT＆T的客服我要暫停服務，讓這混蛋不能用我的iPhone打電話。（我有用安全密碼來鎖定我的iPhone，所以我可能是太過擔心了，但你永遠不知道會發生什麼事。）AT＆T客服向我詢問「這支被盜iPhone最常撥打的電話，至少要講出一個。」我給了她我太太的手機號碼。這就完成了確認，30秒內我的電話號碼就會被「暫停服務」了。

停掉我的iPhone號碼

我繼續開在路上，看著窗外，拿著我太太的iPhone來代用。就在那一瞬間，我驚覺到手機和行動設備是多麼個人的東西。和我的iPhone相處幾年後，它充滿了我親朋好友的名字和地址，大量我喜歡的音樂和照片，一些很酷的應用程式跟那熟悉的手機殼，這些年來在我的口袋裡或黑暗的電影院內陪伴著我。我甚至將錢包裡的大部分東西清空，將健身房會員卡、借書證、咖啡隨行卡等都轉成照片存在我的手機上，這樣就可以輕易的透過iPhone的照片應用程式來使用。

握住我太太的iPhone時覺得怪怪的。就好像陌生人一樣，嘲笑著、提醒著我，它所裝的東西裡只有很小的部分對我有用。每當我呼吸一次，我就會詛咒小偷一次。

繼續閱讀

iPhone 用戶幸運抽獎: MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2四選一?!是詐騙!

2012 年 09 月 08 日2012 年 09 月 17 日趨勢科技 TrendMicro

作者：趨勢科技資深資安顧問Rik Ferguson

當我在這個週末用iPhone來上Facebook時，我看到一個好友利用圖片分享網站來分享一個非常有趣的圖片，很值得仔細看看。我點了那張圖片，本來是想要看到全螢幕圖片版本，結果卻遇到一次非常積極且具有針對性的賺錢騙局。我的瀏覽器被重新導向到一個網站，出現一個訊息通知我首次進入英國（Apple）抽獎活動。因為只有「OK」按鈕，我也不得不繼續下去…

iPhone 用戶幸運抽獎: MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2四選一?!是詐騙! — 一開始跳出的訊息

下個畫面就非常明確的告訴我，我的iPhone手機號碼被隨機抽中，有資格在下列獎項中四選一：MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2。為了加強可信度，這個頁面還會秀出之前幸運中獎者的110個留言中選出的十筆。我可以確定Marcus、Alex和Sue都是很可愛的人，但我並不真的相信有這些人存在。

我選擇了iPad 2（看起來是唯一還可以選的獎品），我的獎品立刻被「保留」起來，我只要再回答最後一個問題就可以了…

我被重新導到一家Quizir公司所提供的測驗服務。一開始畫面上問我一個很簡單的問題。但是當我滑動螢幕，我注意到一段很長的小字通知，我需要付3英鎊來加入測驗，而且每回答多一個問題都要再3英鎊。嗯嗯，也許我並沒真的那麼幸運。這個條款還說，我只是有中獎資格，就跟其他參加者一樣。當然，我並沒有真的在我的手機上繼續他們所要求的步驟。

這整個騙局看起來非常具有針對性，而且顯然是假的，我決定小小的研究一下。我發現這家Quizir是荷蘭一家RD Media的子公司（其他子公司還有Crosmo，Djugo…）。我瀏覽了他們的網頁，好找出更多關於這顯然被人所濫用測驗服務的線索。

根據一些其他的線上條款，每個參加者必須獲得至少5000點才有資格獲獎，每個比賽必須最少有100名參加者，才能夠產生贏家。這些條件都沒有在我的手機測驗畫面中被提及。而且，不管在網路或手機上都沒有提到要怎麼去累積積分。當我打電話給他們的客服，他們很高興的替我解釋。如果我可以在七秒內回應簡訊的話，我會得到700分，每多5秒就會少100分，如果我的時間超過1分鐘，我只能得到100分。每則簡訊3英鎊，如果我真正想要成為贏家，那我可得要花上不少錢！

雖然一開始的誤導性視窗和重新導向的惡意廣告並不是來自RD Media，我在電話上交談的那名工作人員也沒辦法跟我說清楚和合作廠商的支付行為是怎麼進行的。不過我也很懷疑他們是否有支持這些合作廠商的惡意廣告。RD Media當然也不能說是無辜的，他們在其條款的透明度上也有嚴重的瑕疵。

然而，就如同我們年初所預測的，這是犯罪分子會去濫用合法服務以產生收益的進一步證據，證明了網路犯罪並不需要惡意軟體或感染設備也可以成立。不管是用哪一種系統平台，使用者都應該要了解並小心這種高度針對性的社交工程詐騙威脅。當我們朝向去利用行動設備來作為主要連網和作業平台時，網路犯罪分子和不法企業也會想辦法在這管道上找出更多具有說服力的詐騙方式。

我已經發送一個問題清單給RD Media，同時也聯絡了英國的監管單位 – PhonepayPlus。如果有任何進展，我會再更新這篇文章。

加入想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁上按讚：https://www.facebook.com/trendmicrotaiwan

＠原文出處：iPhone targeted Malvertising