地震來時不要過於驚慌，未經證實的網路新聞也是!
3月28日，緬甸中部發生強烈地震，鄰近的泰國曼谷也感受到明顯搖晃。隨後，網路開始流傳「曼谷8.5級地震影片」的訊息，聲稱影片暗藏勒索病毒，呼籲民眾切勿點開。雖然該傳言沒有附影片和連結，但還是造成人心惶惶,此傳言最早從2017年即流傳，除了曼谷地震外，另有傳言稱「蔡英文吃便當影片」，均宣稱打開影片會中勒索病毒。165表示，近年未接獲此類通報，並無民眾因點擊影片就感染勒索病毒的案例。
標籤: 假新聞
Android 間諜軟體ActionSpy, 用新聞網頁為餌進行漏洞攻擊
在追踪Earth Empura（也被稱為POISON CARP/Evil Eye）時，趨勢科技發現了一個未被記錄過的Android間諜軟體並命名為ActionSpy（趨勢科技偵測為AndroidOS_ActionSpy.HRX）。在2020年第一季，我們觀察到Earth Empusa駭客集團針對西藏和土耳其使用者的攻擊活動，然後又將觸手伸到了台灣。據報他們的攻擊活動是透過入侵Android和iOS行動裝置來針對維吾爾族相關受害者。這個駭客集團已知會使用水坑攻擊，但最近我們也觀察到他們用網路釣魚(Phishing)攻擊來散播惡意軟體。
用來感染行動裝置的惡意軟體被發現與2016年以來一連串的iOS漏洞攻擊鏈攻擊有關。在2020年4月，我們注意到一個釣魚網頁偽裝成一款西藏Android熱門影片應用程式的下載頁面。這釣魚網頁看起來是拷貝自第三方網路商店，可能是由Earth Empusa建立。會這樣推論的原因是網頁注入的惡意腳本之一託管在該駭客集團所有的網域。我們在檢查下載的Android應用程式後發現了ActionSpy。
從四個即時通應用程式收集聊天紀錄以監聽訊息
ActionSpy可能從2017年開始就已經存在，這是個能夠讓攻擊者從受感染裝置收集資訊的Android間諜軟體。它還具備一個模組來用Android無障礙功能從四個即時通應用程式收集聊天紀錄以監聽即時通訊息。
Earth Empusa使用網路釣魚頁面的方式跟我們最近報導過的毒化新聞行動（Operation Poisoned News）類似，一樣用新聞網頁作為誘餌來對行動裝置進行漏洞攻擊。Earth Empusa還會用社交工程誘餌來誘騙目標瀏覽釣魚網頁。我們在2020年3月發現他們的伺服器出現了拷貝自維吾爾族相關新聞網站的新聞網頁。所有網頁都被注入腳本來載入跨站腳本框架BeEF。我們懷疑當目標受害者瀏覽上述網站時，攻擊者會利用該框架來派送惡意腳本。不過當我們試著瀏覽上述釣魚網頁來進一步調查時並沒有發現腳本出現。這些網頁的散播機制目前仍不清楚。
在 2020年4月下旬繼續進行調查時，我們發現另一個似乎是拷貝第三方網路商店的釣魚網頁，而且會注入兩個腳本來載入ScanBox和BeEF框架。這個釣魚網頁會邀請使用者下載藏族Android使用者熟知的影片應用程式。我們認為這個網頁是由Earth Empusa所建立，因為BeEF框架是運行在據稱屬於該駭客集團的網域。下載連結會連到包含Android應用程式的壓縮檔。經過分析後發現這是一個未被記錄過的Android間諜軟體，我們將其命名為ActionSpy。
圖5. 釣魚網頁注入的ScanBox（上）和BeEF（下）顯示與Earth Empusa網域重疊之處
深入ActionSpy
這個惡意軟體偽裝成一個維吾爾族影片應用程式Ekran。它具備了跟正版相同的外觀和功能，這點是利用VirtualApp來做到。此外它還利用Bangcle保護來躲避靜態分析和偵測。
正常的Ekran APK檔案被內嵌在ActionSpy的assets資料夾，會在ActionSpy首次啟動準備好VirtualApp後安裝入虛擬環境。
ActionSpy的設定（包括其C&C伺服器地址）使用DES加密。解密金鑰是用原生程式碼產生。這讓ActionSpy難以進行靜態分析。
ActionSpy每隔30秒就會收集基本裝置資訊
ActionSpy每隔30秒就會收集基本裝置資訊（如IMEI、電話號碼、製造商、電池狀態等）傳送給C&C伺服器。伺服器可能會返回在受感染裝置上執行的命令。C&C與ActionSpy間的通訊流量都經過RSA加密並透過HTTP傳輸。
ActionSpy支援下列模組：
| 模組名稱 | 敘述 |
| location | 取得裝置位置經緯度 |
| geo | 取得地理區域如省、市、區、街道地址 |
| contacts | 取得聯絡人資訊 |
| calling | 取得電話紀錄 |
| sms | 取得簡訊 |
| nettrace | 取得瀏覽器書籤 |
| software | 取得已安裝應用程式資訊 |
| process | 取得執行中程序資訊 |
| wifi connect | 讓裝置連接指定無線熱點 |
| wifi disconnect | 讓裝置中斷無線網路 |
| wifi list | 取得所有可用無線熱點資訊 |
| dir | 收集SD卡上指定類型檔案的列表，如txt、jpg、mp4、doc、xls… |
| file | 上傳裝置檔案到C&C伺服器 |
| voice | 錄環境音 |
| camera | 用鏡頭拍照 |
| screen | 螢幕截圖 |
| 取得微信資料夾結構 | |
| wxfile | 取得微信接收或送出的檔案 |
| wxrecord | 取得微信、QQ、WhatsApp和Viber的聊天紀錄 |
要求開啟無障礙服務，聲稱是記憶體垃圾清理服務
一般來說，在Android上的第三方應用程式不能存取不屬於自己的檔案。這讓ActionSpy難以在沒有root權限下竊取微信等即時通應用程式的聊天紀錄檔。所以ActionSpy用了間接作法：要求使用者開啟無障礙服務，聲稱自己是記憶體垃圾清理服務。
一旦使用者開啟無障礙功能服務後，ActionSpy會監視裝置的無障礙功能事件，出現在使用者介面出現”顯著”變化（如點擊按鈕、輸入文字或畫面改變）時。當收到無障礙功能事件，ActionSpy會檢查事件類型是否為VIEW_SCROLLED或WINDOW_CONTENT_CHANGED，然後檢查事件是否來自如微信、QQ、WhatsApp和Viber等目標應用程式。如果滿足以上條件，則ActionSpy會分析當前活動內容並提取如暱稱、聊天內容和聊天時間等資訊。所有的聊天資訊都會經過整理並儲存到一個本地端SQLite資料庫。當送出wxrecord命令時，ActionSpy會收集資料庫內的聊天記錄並轉成JSON格式，接著傳送到C&C伺服器。
根據其憑證簽章時間（2017-07-10），我們認為ActionSpy至少已經存在了三年。我們還找到一些在2017年製作的舊ActionSpy版本。
Earth Empusa針對iOS系統的水坑攻擊
Earth Empusa還會用水坑攻擊來入侵iOS裝置。駭客集團將惡意腳本注入到目標可能瀏覽的網站來載入注入腳本。我們發現他們對入侵網站注入了兩種攻擊：
- 一種是用ScanBox框架來對網站訪客收集資訊，該框架會利用JavaScript記錄按鍵並從客戶端環境收集作業系統、瀏覽器和瀏覽器擴充套件的配置檔案。這個框架通常被用在偵察階段，好了解目標並為下一階段的攻擊做準備。
- 另一種是他們的漏洞攻擊鏈框架，它會攻擊iOS裝置的漏洞。該框架會檢查HTTP請求的User-Agent標頭來判定受害者裝置的iOS版本，並用對應的漏洞攻擊碼來進行回應。如果User-Agent不屬於目標iOS版本之內，則該框架不會送出任何惡意擋案。
在2020年第一季，漏洞攻擊鏈框架升級包含了針對iOS 12.3、12.3.1和12.3.2的新iOS漏洞攻擊碼。其他研究人員也發表了關於此更新漏洞攻擊碼的詳細資訊。
我們自2020年初就開始在多個維吾爾族相關網站觀察到這些注入攻擊。此外，我們也發現到土耳其的新聞網站和政黨網站被入侵並遭遇相同的注入攻擊。最新發展則是我們在2020年3月在台灣的大學網站和旅行社網站發現相同的注入攻擊。這些發展讓人相信Earth Empusa正在擴大其目標範圍。
最佳實作和解決方案
Earth Empusa仍然相當的活躍。隨著駭客集團不斷地開發攻擊目標的新方法，我們也會持續地進行追蹤和監視。
建議iOS的使用者要記得更新系統。此外也建議Android使用者只從受信任來源（如Google Play）安裝應用程式來避免遇到惡意軟體。
使用者還可以安裝如 趨勢科技行動安全防護等能夠封鎖惡意應用程式的安全解決方案。一般使用者可以得益於其多層次安全防護功能來保護裝置擁有者的資料和隱私，並提供能夠抵禦勒索軟體、詐騙網站和身份竊取等威脅的防護功能。
對於企業，趨勢科技的行動安全防護企業版提供了裝置、合規性和應用程式管理，資料保護和設定配置，同時能夠保護裝置抵禦漏洞攻擊，防止對應用程式未經授權的存取以及偵測並封鎖惡意軟體和詐騙網站。趨勢科技的行動應用程式信譽評比服務（MARS）使用業界領先的沙箱和機器學習(Machine learning,ML)技術來涵蓋Android和iOS上的威脅。能夠保護使用者解決惡意軟體、零時差攻擊和已知漏洞攻擊、隱私外洩及應用程式漏洞等問題。
入侵指標
下列的惡意軟體都被偵測為AndroidOS_ActionSpy.HRX。
| SHA256 | 套件名稱 | 標籤 |
| 56a2562426e504f42ad9aa2bd53445d8e299935c817805b0d9b9431521769271 | com.omn.vvi | Ekran |
| b6e2fdbf022cd009585f62a3de71464014edd58125eb7bc15c2c670d6d5d3590 | com.isyjv.klxblnwc.r | 系统优化 |
| de6065c63f05f8cddaec2f43a3789cca7d8e16221bd04bf3ce8092809b146ebe | com.isyjv.klxblnwc.r | 系统优化 |
| 2117e2252fe268136a2833202d746d67bf592de819cc1600ac8d9f2738d8d4d6 | com.isyjv.klxblnwc | Service Runtime Library |
| 588b62a2e0bffa8935cd08ae46255a972b0af4966483967a3046a5df59d38406 | com.isyjv.klxblnwc | Service Runtime Library |
| d6478b4b7f0ea38947d894b1a87baf4bed7a1ece934fff9dfc233610de232814 | com.isyjv.klxblnwc | Service Runtime Library |
| 8d0a123e0fe91637fb41d9d9650a4b9c75b6ce77a2b51ac36f05a337da7afd80 | com.ecs.esap | Service Runtime Library |
| 9bc16f635fde4ff0b6b02b445a706d885779611b7813c5607ab88fdff43fcc2f | com.cd.weixin | VWechat |
| 334dbd15289aaeaf3763f1702003de52ff709515246902f51ee87a41467a8e55 | com.android.dmp.rec | Recording |
| 50c10ab93910a6e617c85a03f8c38a10a7c363e2d37b745964e696da8f98a93d | com.android.dmp.rec | Recording |
| 6575eeda2a8f76170fb6034944eeda5c88dac8009edccc880124fa729dd3c1fd | com.android.dmp.l | Location |
| eff30f6cc2d5d04ce4aef0c50f1fb375fb817a803bf3e8e08c847f04658185ba | com.android.dmp.l | Location |
| a0a48d7e0762ab24b2ec3ec488b011db866992db5392926fe43dd3d1c398e30d | com.android.dmp.cm | Camera |
| 088769a80b39d0da26c676a5a52eaccdb805dc67cba85e562785c375c642b501 | com.android.dmp.c | Core |
| 87306b59aaaba0ea92ea6a05feb9366eeb625e8da08ed3ef6c86a5cf394fada5 | com.android.dmp.c | Core |
| 指摽 | 類型 |
| gotossl.ml | Earth Empusa用的網域 |
| goforssl.top | Earth Empusa用的網域 |
| geo2ipapi.org | Earth Empusa用的網域 |
| appbuliki.com | Earth Empusa用的網域 |
| umutyole.com | Earth Empusa用的網域 |
| t.freenunn.com | Earth Empusa用的網域 |
| start.apiforssl.com | Earth Empusa用的網域 |
| bloomberg.com.cm | Earth Empusa用的網域 |
| static.apiforssl.com | Earth Empusa用的網域 |
| cdn.doublesclick.me | Earth Empusa用的網域 |
| static.doublesclick.info | Earth Empusa用的網域 |
| status.search-sslkey-flush.com | Earth Empusa用的網域 |
| https://114.215.41.93/ | ActionSpy的C&C網址 |
| https://static.doubles.click:8082/ | ActionSpy的C&C網址 |
MITRE ATT&CK
@原文出處：New Android Spyware ActionSpy Revealed via Phishing Attacks from Earth Empusa 作者：Ecular Xu和Joseph C. Chen（趨勢科技）
【LINE惡作劇】「鈕承澤醜聞私密照曝光了」專家:人性,是最大的安全漏洞,別亂點!
「鈕承澤醜聞私密照曝光了~趕快看喔！不然隨時要被刪掉了」許多人的 LINE 收到這樣的訊息,你是不是因為好奇而點開了呢?
如果你點開該連結,會看到這個圖片:
雖然證實是惡作劇一場, 趨勢科技提醒:駭客攻擊的誘餌或標題都不脫主流大眾關心、或可以滿足人性偷窺欲望的本性,民眾需提高警覺。如果有親友在 LINE 群組裡散播該訊息,趨勢科技防詐達人會提醒用戶,別開啟該連結,最近許多熱門新聞事件,如果擔心不小心點選到惡意或詐騙連結,請馬上將防詐達人加入LINE 朋友,未雨綢繆,以免下次碰到真正的惡意連結,就得不償失了。
此類郵件或 LINE 訊息藉由勾起使用者的好奇心，一個郵件標題、一個附件檔名，就能讓使用者點擊滑鼠進行散播，我們稱之為社交工程陷阱( Social Engineering), 趨勢科技攔截到許多以色情為餌的病毒。它們既不是散發大量郵件的蠕蟲，也沒有透過殭屍網路/傀儡網路 Botnet來散發垃圾郵件(SPAM)，而是由人為手動轉寄木馬植入程式。究其原因，原來該網址由電子郵件或 LINE 群組中的某位成員散發給許多該群組的郵件，再滾雪球般地逐漸散佈出去。
最可能被利用的素材包括政治人物、演員、企業家等知名人士的相關新聞等。名人八卦更是駭客的最愛, 「人性,是最大的安全漏洞」一點都不假,2012年政府單位以「李宗瑞影片，趕快下載呦！」測試信標題,導致 996 名員工好奇點閱「中招」，點閱員工需分十梯上2小時的資訊安全課程。 繼續閱讀
假新聞為何能創下歷史上最貴的推文!研究: 假新聞散播速度比真新聞快六倍
2013年4月下旬，美聯社（AP）的推特帳號貼出白宮爆炸事件導致歐巴馬總統受傷，震驚了數百萬的關注者。它帶動了4,000多次的轉發，而且因其所造成的股價損失讓它成為歷史上最昂貴的推文之一。雖然股票市場在貼文被確認為造假後立即反彈，但傷害已經發生 – 股價損失超過1,300億美元。
假新聞都是機器人轉發? 多數是真人主動轉發!
麻省理工學院（MIT）最近的一項研究引用了此一事件，該研究檢視了從2006年到2017年間約300萬個帳號所貼出的126,000則故事。研究人員Soroush Vosoughi、Deb Roy和Sinan Aral發現假新聞的散播速度更快，且比真實報導更容易被轉發。假新聞會接觸到1,000到100,000個Twitter使用者。但真實或經驗證過的故事要花費六倍的時間才能達到1,500人。他們還指出，假新聞經常被真人轉發，而非機器人。
[TrendLabs研究：假新聞製造機：網路宣傳攻擊如何濫用網路和操縱大眾]
他們的研究指出，“不管是哪種類別的資訊，謊言散播都比真實新聞要遠遠來的更快、更深也更廣，而且假政治新聞的影響要遠遠大於恐怖主義、自然災害、科學、都市傳說或財經資訊的假消息。我們發現假新聞會比真新聞更具故事性，這也顯示出人們更可能去分享具故事性的資訊。“
事實上，假新聞的影響對政府、組織和個人來說都是長期的挑戰。事實上，今年的假新聞活動（無論是政治動機還是金錢動機）預期還會繼續下去，再加上網路宣傳戰，這些活動會使用各種有效的技術來進行散播。
[相關文章：探索推動假新聞的網路經濟]
為了進一步舉例：趨勢科技在2017年6月的調查研究了主題標籤#MacronLeaks的Twitter網路。該研究發現這個活動有個獨特的社群，其中包括”上師（guru）”的真人帳號和“教派追隨者”會展示關注者使用行為的帳號，但也可能是機器人。在Twitter上，假新聞活動通常是緊密團結的追隨者來轉發上師所貼出的假內容。 繼續閱讀
假新聞葫蘆裡賣什麼膏藥?
所謂的假新聞最近出現在許多圈子，包括政府、新聞和網路安全產業，但這個概念早在過去一年之前就已出現。蓄意的誤導性散播資料一直是這幾年的通訊關鍵，尤其是在政治或經濟混亂時期。技術持續演進，惡意人士用來散播這類不實資訊的策略也不斷升級。
但這些惡行究竟如何在現行技術環境下被煽動？假新聞整體來說會對個人及企業帶來哪些風險？這個概念目前在全球受到高度矚目，現在讓我們來看看假新聞葫蘆裡賣什麼膏藥。
Facebook 出現前的假新聞
一提到「假新聞」，大家腦中首先想到的應該是社交媒體上的貼文和文章連結，這些文章用意在於煽動特定觀點，試圖激起使用者間的對話，無論其中所含的資訊正確與否。但根據趨勢科技在其具前瞻性的威脅研究白皮書「假新聞製造機：鼓吹者如何利用網際網路來操縱大眾」(The Fake News Machine: How Propagandists Abuse the Internet and Manipulate the Public) 中所述，設計用來誤導大眾的出版品早在社交媒體出現前便已在外流通。
趨勢科技研究員指出：「網際網路不過是另一種更新型態用來散播的通訊技術。這個途徑讓少數人得以影響並操縱大眾的看法。此外，社交媒體所創造的針對性與群眾動力，讓想法無論真實與否都能以前所未有的速度向外散佈。」
炒假新聞的三大要素:
