标签: Android

安卓手机爆发“寄生推”病毒 2000 万用户遭遇恶意推广

如“ 寄生虫 ”一般的恶意推广手段正在严重影响上千万手机用户的使用体验。近日,腾讯 TRP-AI 反病毒引擎捕获到一个恶意推送信息的软件开发工具包(SDK)——“寄生推”,通过预留的“后门”云控开启恶意功能,进行恶意广告行为和应用推广,以实现牟取灰色收益。目前已有 300 多款知名应用受“寄生推 ”SDK 感染,潜在影响用户超 2000 万。 超 300 多款知名应用遭“寄生推”病毒“绑架” 潜在影响超 2000 万用户 大量用户已经受到了“寄生推”推送 SDK 的影响。根据腾讯安全联合实验室反诈骗实验室大数据显示,已有数十万用户设备 ROM 内被植入相关的恶意子包,受到影响的设备会不断弹出广告和地下推广应用。此外,这些恶意子包可以绕过大多应用市场的安装包检测,导致受感染的应用混入应用市场,给用户和应用开发者带来重大损失。 更值得关注的是,感染“寄生推” SDK 的知名应用中,不仅类型丰富,更是不乏用户超过千万的巨量级软件,“我们估测超过 2000 万用户都受此威胁”,腾讯安全联合实验室反诈骗实验室技术工程师雷经纬表示。 (图:“寄生推”推送 SDK 恶意子包影响范围广) 传播过程酷似“寄生虫”:强隐蔽性+强对抗性 “寄生推”不仅影响范围广,在传播路径上更是“煞费苦心”。据雷经纬介绍,该信息推送 SDK 的恶意传播过程非常隐蔽,从云端控制 SDK 中实际执行的代码,具有很强的隐蔽性和对抗杀毒软件的能力,与“寄生虫”非常类似,故将其命名为“寄生推”。 具体表现为,首先,其开发者通过使用代码分离和动态代码加载技术,完全掌握了下发代码包的控制权;随后,通过云端配置任意下发包含不同功能的代码包,实现恶意代码包和非恶意代码包之间的随时切换;最后在软件后台自动开启恶意功能,包括植入恶意应用到用户设备系统目录,进行恶意广告行为和应用推广等,最终实现牟取灰色收益。 如何远离手机中的“寄生虫”?安全专家三大建议 为了帮助用户避免“寄生推”推送 SDK 的危害,腾讯手机管家安全专家杨启波提出以下三点建议:其一,SDK 开发者应尽可能的避免使用云控、热补丁等动态代码加载技术,要谨慎接入具有动态更新能力的 SDK,防止恶意 SDK 影响自身应用的口碑;其二,用户在下载手机软件时,应通过应用宝等正规应用市场进行,避免直接在网页上点击安装不明软件。 (图:腾讯手机管家查杀“寄生推”病毒) 最后,用户应养成良好的安全使用手机的习惯,借助腾讯手机管家等第三方安全软件对手机进行安全检测,移除存在安全风险的应用。作为用户手机安全的第一道防线,腾讯手机管家借助腾讯 TRP-AI 反病毒引擎的检测及分析能力,进一步增强整体防御能力。据了解,腾讯 TRP-AI 反病毒引擎,首次引入基于 APP 行为特征的动态检测,并结合AI深度学习,对新病毒和变种病毒有更强的泛化检测能力,能够及时发现未知病毒,变异病毒,和及时发现病毒恶意代码云控加载,更为智能的保护用户手机安全。 稿源:凤凰网,封面源自网络;

虚假杀毒软件窃取设备存储信息,竟是两种 Android RAT 变体

近日,EST 安全团队发布了一篇关于 Android 手机平台上虚假防病毒恶意软件的帖子。根据韩国媒体的报道,有人认为这些恶意软件可能与 123 组织( Group 123)之间存在某种关联。在深入研究这种关联中,Talos 结合其调查报告以及 123 组织的历史背景,确定了 Android 远程管理工具(RAT)的两种变体: KevDroid 和 PubNubRAT。这两种变体具有相同的功能 , 即窃取受感染设备上的信息(如联系人、短信和电话历史记录),并记录受害用户的电话。除此之外,两种变体的数据也都是使用 HTTP POST 发送到唯一的命令和控制(C2)服务器上的。 其中一种变体 KevDroid 使用了已知的 Android 漏洞(CVE-2015-3636),以便在受损的 Android 设备上获得 root 访问权限。 而 PubNubRAT(以 Windows 为目标)则是被确认托管在 KevDroid 使用的命令和控制服务器上。该恶意软件专门使用 PubNub 平台作为它的 C2 服务器。PubNub 是一个全球数据流网络(DSN), 攻击者可以使用 PubNub API 向被攻击的系统发布命令。 Talos 表示他们目前只是大致识别了一些无法可靠确定真正联系的策略、技术和程序要素,还不能够确定这些变体与 123 组织之间的具体关联。 Talos 完整分析报告: 《 Fake AV Investigation Unearths KevDroid, New Android Malware 》 消息来源:talosintelligence,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。  

新型 Android 恶意软件 HiddenMiner 开启「毁机」挖矿模式,危害中印两国手机用户

趋势科技在本周三表示发现了一种新的 Android 挖矿恶意软件 HiddenMiner,它可以暗中使用受感染设备的CPU 计算能力来窃取 Monero。HiddenMiner 的自我保护和持久性机制让它隐藏在用户设备上滥用设备管理员功能 (通常在 SLocker Android 勒索软件中看到的技术)。另外,由于 HiddenMiner 的挖矿代码中没有设置开关、控制器或优化器,这意味着一旦它开始执行挖矿进程,便会一直持续下去,直到设备电量耗尽为止。鉴于 HiddenMiner 的这种特性,这意味着它很可能会持续挖掘 Monero,直到设备资源耗尽。根据研究人员的说法,HiddenMiner 是在第三方应用商店发现的,大部分受害用户都位于中国和印度。 HiddenMiner 的持续挖矿与导致设备电池膨胀的Android 恶意软件 Loapi 类似,不仅如此,HiddenMiner 还使用了类似于撤销设备管理权限后 Loapi 锁定屏幕的技术。 研究人员通过进一步钻研 HiddenMiner,发现 Monero 矿池和钱包与恶意软件连接,并获悉其中一家运营商从钱包中提取了 26 XMR(截至 2018 年 3 月26 日价值为 5,360 美元)。 图 1 一个 Monero 钱包地址状态的屏幕截图 感染链与技术分析 HiddenMiner 伪装成了合法的 Google Play 商店应用更新程序,使用了与 Google Play 商店相同的图标。HiddenMiner 随着 com.google.android.provider 弹出,并要求用户以设备管理员身份激活它。一旦获得许可,HiddenMiner 将在后台开始挖掘 Monero。 图 2 恶意应用程序的屏幕要求用户以设备管理员身份激活它 HiddenMiner 使用多种技术将自己隐藏在设备中,例如清空应用程序标签并在安装后使用透明图标。一旦受害者以设备管理员身份将其激活,它将通过调用 “ setComponentEnableSetting()”从应用程序启动器隐藏自己。需要注意的是,恶意软件会自行隐藏并自动以设备管理员权限运行,直到下一次设备引导。 DoubleHidden Android 的广告也采用了类似的技术。 图 3 安装后的空应用程序标签和透明图标(左),然后一旦授予设备管理权限就会消失(右) 除此之外,HiddenMiner 还具有反仿真功能,可绕过检测和自动分析。它会通过滥用 Github 上的 Android 模拟器检测器来检查自身是否在模拟器上运行。 图 4 代码片段显示了 HiddenMiner 如何绕过沙箱检测和 Android 模拟器 图 5 代码片段显示了 HiddenMiner 如何挖掘 Monero 在 HiddenMiner 的案例中,受害用户无法将 HiddenMiner 从设备管理员中删除,因为当用户想要停用其设备管理员权限时,恶意软件会利用技巧来锁定设备的屏幕。因为它利用了 Android 操作系统中发现的缺陷(不包括 Nougat 「Android 7.0」和更高版本的设备,因为 Google 通过减少设备管理员应用程序的权限解决了这一问题。) 的确,HiddenMiner 是网络犯罪分子如何驾驭加密货币挖掘浪潮的又一例证。对于用户和企业而言,提高网络安全意识刻不容缓:仅从官方应用市场下载 APP 、定期更新操作系统以及授予应用程序权限时更加谨慎 等都能在一定程度上减小感染恶意软件的几率。 原文报告及解决方案: 《Monero-Mining HiddenMiner Android Malware Can Potentially Cause Device Failure》 消息来源:Trendmicro,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Facebook 被指多年来一直收集 Android 设备的呼叫与短信元数据

上周,一名新西兰男子从 Facebook 上拖回了自己的数据档案,结果惊讶地发现该社交网络一直在收集 Android 设备上的许多信息。Dylan McKay 查看了其中有关已存储的联系人部分,才知道 Facebook 在大约两年的时间里,一直在收集它手机上与呼叫有关的数据,包括姓名、电话号码、以及接打通话的时长。 如上图所示,为了方便地追踪用户的电话和消息,Facebook 在 2017 年 10 月份之前就偷偷摸摸地这么做了,其利用了旧 Android API 的权限处理方式。 此外,许多人遇到了与 Dylan McKay 一样的问题,并与其展开了讨论。 外媒 ArsTechnica 编辑 Sean Gallagher 在查看了自己的档案后发现,其中包含的通话记录(以及短彩信等)数据,甚至包含了自己在 2015 – 2016 年间用过的一部分 Android 设备。 在回应 ArsTechnica 有关该数据收集的邮件提问时,一名 Facebook 发言人答复到,这是为了方便 app 与服务用户,使其轻松找到想要联系的人。 “所以当设备首次注册时,一款消息或社交 app 是会这么做的(上传手机通讯录),这是一种在业内被广泛采用的做法”。 不过该发言人指出,联系人的上传是可选的,并且在 app 安装期间明确列出了这一权限。如果想要在个人资料里删除联系人数据,可以借助 Web 浏览器端的一款工具。 据悉,手机通讯录是 Facebook 好友推荐算法的一部分。在最近面向 Android 与 Facebook Lite 设备的 Messenger 应用程序中,其已经向用户发出更明确的请求,以访问呼叫和短信日志。 即便用户未授予许可,Facebook 的移动应用多年来无意中都这么做了,因为旧版本的 Android(尤其是 4.1 Jelly Bean 之前)的默认权限处理方式存在缺陷。 直到 16 版本,Android API 的权限结构才发生了改变。遗憾的是,如果 Android 应用程序被写入了 API 的早期版本,就可以绕过这一限制,而 Facebook 就故意这么做了。 Google 在 2017 年 10 月份弃用了 Android API 4.0,这也是 Facebook 用户数据中发现的通话元数据的截止时间点。相比之下,苹果 iOS 从未允许对用户数据进行静默访问。 稿源:cnBeta,封面源自网络;

TeleRAT :一种利用 Telegram 秘密窃取数据的新型 Android 木马

近日,Palo Alto Networks 的安全专家发现了一种名为 TeleRAT 的新型 Android 木马,该木马使用 Telegram 的 Bot API 来与命令和控制(C&C)服务器进行通信和窃取数据。目前安全专家猜测 TeleRAT 可能是由伊朗的几位威胁攻击者操作运营。 其实另一个被称为 IRRAT 的 Android 恶意软件与 TeleRAT 有相似之处,因为它也利用了 Telegram 的 bot API 进行 C&C 通信。IRRAT 能够窃取联系人信息、在设备上注册的 Google 帐户列表、短信历史记录,并且还可以使用前置摄像头和后置摄像头拍摄照片。这些被盗的数据存储在手机 SD 卡上的一些文件中,由 IRRAT 将它们发送到上传服务器。IRRAT 将这些行为报告给 Telegram bot 后,将其图标从手机的应用菜单中隐藏起来,在后台运行着等待命令。 而 TeleRAT Android 恶意软件则以不同的方式运行着:它在设备上创建两个文件,其中包含设备信息(即系统引导加载程序版本号,可用内存和大量处理器内核)的 telerat2.txt,以及包含电报通道和一系列命令的 thisapk_slm.txt 。 TeleRAT 一旦被成功安装,恶意代码就会通过电报 Bot API 发送消息来通知攻击者,并且该恶意软件还启动了后台服务,用于监听对剪贴板所做的更改。除此之外,TeleRAT 每 4.6 秒钟从 bot API 中获取更新,以监听用波斯语编写的几条命令。以下为两种获取更新的方式: 1、 getUpdates 方法(公开发送给 bot 的所有命令的历史记录,其中包括命令发起的用户名) 2、Webhook 方法(bot 更新可以被重定向到一个通过 Webhook 指定的HTTPS URL)。  TeleRAT 功能用途极为广泛,如以下: 接收命令来抓取联系人、位置、应用程序列表或剪贴板的内容; 接收收费信息、 获取文件列表或根文件列表; 下载文件、创建联系人、设置壁纸、接收或发送短信; 拍照、接听或拨打电话、将手机静音或大声; 关闭手机屏幕、 删除应用程序、导致手机振动、从画廊获取照片; TeleRAT 还能够使用电报的 sendDocument API 方法上传已窃取的数据,这样就避开了基于网络的检测。 TeleRAT 传播 TeleRAT 恶意软件除了通过看似合法的应用程序分发到第三方 Android 应用程序商店外,也通过合法和恶意的伊朗电报渠道进行分发。根据 Palo Alto Networks 统计,目前共有 2293 名用户明显受到感染,其中大多数(82%)拥有伊朗电话号码。 TeleRAT 被认为是 IRRAT 的升级版本,因为它消除了基于已知上传服务器流量网络检测的可能性,这是由于所有通信(包括上传)都是通过电报 bot API 完成的。 除了一些额外的命令外,TeleRAT 与 IRRAT 的主要区别还在于TeleRAT 使用了电报 sendDocument API 方法上传已窃取的数据 。 Palo Alto Networks 完整分析报告见: 《 TeleRAT: Another Android Trojan Leveraging Telegram’s Bot API to Target Iranian Users 》 消息来源:Security Affairs,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

恶意广告程序 RottenSys 感染近 500 万台 Android 设备

外媒 3 月 14 日消息,安全公司 Check Point 本周披露了一个名为 RottenSys 的恶意软件家族 —— 通过伪装成系统 Wi-Fi 服务,增加广告收入。根据调查,自 2016 年起,该移动广告软件已感染了近 500 万台 Android 设备,其中受影响较大的包括荣耀、华为以及小米。 Check Point 称最近小米红米手机上的一个不寻常、自称为系统 Wi-Fi 服务的应用程序引起了其研究人员的注意。他们发现该应用程序不会向用户提供任何安全的 Wi-Fi 相关服务,反而会要求许多敏感的 Android 权限,例如与 Wi-Fi 服务无关的易访问性服务权限、用户日历读取权限等等。 根据 Check Point 的调查,恶意团伙利用 RottenSys 谋取暴利,每 10 天的收入能达到 115,000 美元。目前,感染排名靠前的手机品牌有华为荣耀、华为、小米、OPPO、vivo 等。并且需要注意的是,由于 RottenSys 的功能比较广泛,攻击者还可能会利用它来做出一些远比广告更具破坏性的行为。 RottenSys 恶意软件部分细节: 恶意软件实施两种逃避技术:第一种技术包括在设定时间内延迟操作;第二种技术使用不显示任何恶意活动的 dropper。一旦设备处于活动状态且安装了 dropper,与之联系的命令和控制(C&C)服务器将会向其发送活动所需的其他组件列表。 恶意代码依赖于两个开源项目: 1、RottenSys 使用一个名为 Small 的开源 Android 框架(github.com/wequick/small)为其组件创建虚拟化容器。通过这种方法,恶意软件就可以运行并行任务,从而攻破 Android 操作系统的限制。 2、为了避免 Android 系统关闭其操作,RottenSys 使用了另一个名为 MarsDaemon 的开源框架(github.com/Marswin/MarsDaemon)。 不过虽然 MarsDaemon 保持流程活跃,但它也阻碍了设备的性能并且消耗了电池。 Check Point 调查报告: 《 RottenSys: Not a Secure Wi-Fi Service At All 》 消息来源:Security Affairs.,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Android 三月安全补丁上线:共计修复 37 处高危漏洞

面向 Pixel 和 Nexus 设备(尚处于支持状态),在最新发布的 2018 年 3 月 Android 安全补丁中共计修复了 37 处高危漏洞,涉及多媒体框架、内核、NVIDIA 和高通等多个组件。Google 表示:“ 在这些问题中最严重的是多媒体框架中的漏洞,使用精心制作的文件能够远程执行包含特权进程的任意代码。” 目前所有支持状态的 Pixel 和 Nexus 成为了首批获得 2018 年 3 月 Android 安全补丁的设备。运行最新 Android 8.1 Oreo 移动系统的 Pixel, Pixel XL, Pixel 2, Pixel 2 XL, Pixel C, Nexus 6P和Nexus 5X 设备通过 OTA(Over-the-Air)方式来获取本次补丁,而且用户可以通过 Google 网站下载工厂镜像。 稿源:cnBeta,封面源自网络;

卡巴斯基:色情诱导恶意软件 去年安卓用户成重灾区

俄罗斯安全公司卡巴斯基实验室本周三发布的一份安全报告称,去年谷歌安卓系统用户中至少有 120 万人遭遇到了色情内容相关的恶意软件,这是安卓设备上感染恶意软件用户总数 490 万人的四分之一。 使用色情内容吸引不知情的受害者点击恶意软件是一个普遍的伎俩,一个黑客团伙使用虚构色情应用在 2017 年在 100 万个安卓手机中盗取了约 89.2 万美元的总额,9 万个机器人构成的僵尸网络在推特中散布色情垃圾信息。卡巴斯基实验室的研究人员称他们几乎在成人网络内容诞生的第一天就看到色情内容,被作为散播恶意软件的诱饵。 在桌面的,卡巴斯基研究者发现色情相关恶意软件感染约 30 万次,比起移动设备发生的相关感染来说非常苍白。研究团队发现了网络上有 23 种针对安卓设备的不同的恶意软件,他们都非常依赖以色情内容作为诱饵。包括勒索病毒、木马等。谷歌拒绝就此置评,因为卡巴斯基的这项结论并未包括任何苹果 iOS 系统设备。 稿源:cnBeta.COM,封面源自网络

专供政府情报收集:黑客出售黎巴嫩间谍软件平台 Dark Caracal

外媒 1 月 19 日消息,电子前沿基金会 Frontier Foundation 和 安全公司 Lookout 联合调查发现与黎巴嫩总安全局有关的监控间谍活动 Dark Caracal APT 从世界各地的 Android 手机和 Windows PC 中窃取大量数据,并且最近有黑客组织将 Dark Caracal 间谍软件平台出售给某些国家用来监听。据悉,该间谍活动通过制造大量虚假 Android 应用程序并利用社交工程(如钓鱼邮件或虚假的社交网络信息)来传播含有木马的恶意软件,过去的六年里已牵涉到来自 21 个国家的记者、军事人员、公司和其他目标的敏感信息(短信、通话记录、档案等)。 Lookout 发表的一份报告中详细分析了 Dark Caracal: Dark Caracal 实施的攻击链主要依靠社交工程,比如黑客在虚假应用程序(如 Signal 和 WhatsApp )中包含定制的 Android 恶意软件,从而达到向受害用户发送恶意信息的目的。 Dark Caracal 影响范围 Lookout 透露,其研究人员发现了一个名为 Pallas 的定制型恶意软件,可能是 Dark Caracal 间谍活动工具包中的一个重要组件。Pallas 被用来劫持目标智能手机,并通过出租给政府的 Dark Caracal 平台进行分发和控制。目前获取 Pallas 的主要方法是从非官方软件应用商店安装受感染的应用程序,比如 WhatsApp 和 Signal ripoffs 。不过 Pallas 并没有利用 ” 零日” 来接管设备,而是依靠欺骗用户安装恶意应用程序,授予恶意软件各种权限。一旦 Pallas 到位,就可以秘密地从手机的麦克风中录制音频、 揭露 gizmo 的位置给监视者、并将手机所包含的所有数据泄露给黑客。 此外,Dark Caracal 平台还提供了另一种监视工具 ——FinFisher 样本,它被出售给政府,用于监视公民。而在桌面端,Dark Caracal 提供了一个 delphil 编码的 Bandook 木马,该木马之前在 Manul 操作系统中已被识别,可以有效地征用  Windows 系统。 Lookout 表示目前正在试图寻找 Dark Caracal 背后的黑客组织,并预计今年夏天调查会有进展。 相关阅读: 关于 Dark Caracal 的相关报告 消息来源:TheRegister,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

卡巴斯基:安卓恶意软件 Skygofree 监控能力前所未有

 1 月 17 日凌晨消息,近期,网络安全问题日益突出,恶意软件开发者们也不断竞争,有研究人员发现了一个新的 Android 监视平台,监视内容包括基于位置的录音信息,该平台还拥有其他以前未曾见过的功能。 根据卡巴斯基实验室于周二公布的一份报告,“ Skygofree ” 很有可能是一个具有侵略性的安全类软件,该软件是由一家位于意大利的专门售卖监控软件的公司出售的。该软件自 2014 年开始一直持续在进行开发。它依赖于五个不同的技术来获得特权访问权限,可以绕过 Android 自身的安全机制。Skygofree 可以从设备的存储芯片中获取通话记录、文字短信、位置信息、日程活动、和一些与商业相关的信息,还能获取拍照和录像的权限。 Skygofree 还具有这样一个功能,当用于处在特定的位置时就自动开启受攻击手机的录音功能,能记录对话和环境噪声。还有一个新功能,那就是通过滥用 Android 系统给残障人士提供的辅助工具来偷取用户的 WhatsApp 聊天记录。另一个功能就是能使受攻击手机连接由攻击者控制的无线局域网。 卡巴斯基的研究员在报告中写道:“ Skygofree Android 应用程序是我们见过的最强大的监控软件之一。经过多次迭代开发,它具有了很多的功能。” 该报告称此恶意软件已经感染了很多意大利的 Android 手机用户。该恶意软件是通过伪造虚假网站来传播的。 稿源: 新浪科技,封面源自网络;