邁克菲報告顯示移動應用程序漏洞百出

【賽迪網(wǎng)-IT技術訊】Intel Security今日發(fā)布了《邁克菲實驗室威脅報告：2015 年 2 月刊》，報告對移動威脅態(tài)勢進行了評估，以及移動應用程序開發(fā)商未對重大安全套接層 (SSL) 漏洞打補丁，從而給數(shù)以百萬計的手機用戶造成了潛在威脅。邁克菲實驗室還詳解了日漸“走紅”的 Angler 漏洞攻擊套件，并對愈發(fā)猖獗的潛在有害程序(PUP)發(fā)出警告，該套件能改變系統(tǒng)設置，并在用戶毫不知情的情況下采集個人信息。

根據(jù)中國互聯(lián)網(wǎng)絡信息中心發(fā)布的《中國互聯(lián)網(wǎng)發(fā)展狀況統(tǒng)計報告》，截至2014年12月，中國手機網(wǎng)民規(guī)模達5.57億，較2013年底增加5672萬人。網(wǎng)民中使用手機上網(wǎng)人群占比由2013年的81.0%提升至85.8%，手機應用的使用率也大幅提高，其中手機網(wǎng)上支付規(guī)模達到2.17億，全年增長率為73.2%，網(wǎng)民手機支付的使用比例由25.1%提升至39.0%。

甫剛結束的農歷春節(jié)更是中國用戶手機使用率的高峰，朋友聚會、年夜飯刷手機、搖一搖、使用移動應用程序成為標準動作。為了趕搭春節(jié)搶紅包、發(fā)紅包的熱潮，許多手機用戶也隨即綁定了銀行賬戶信息，移動支付終端用戶迅速增加。殊不知伴隨紅包滿天飛，紅包騙局和用戶隱私數(shù)據(jù)泄漏等安全隱患也浮上臺面，再次引發(fā)社會對手機移動端安全問題的關注。

邁克菲實驗室研究表明，移動應用程序開發(fā)商在應對最基本的SSL漏洞方面行動遲緩：缺乏適當?shù)臄?shù)字證書鏈驗證。2014 年 9 月，卡內基梅隆大學 (Carnegie Mellon University) 計算機緊急響應小組 (CERT) 公布了存在此類缺陷的移動應用程序名單，其中包括下載量超過百萬的應用程序。

一月份，邁克菲實驗室對CERT名單中25款最熱門的應用程序進行測試，發(fā)現(xiàn)這些應用程序都通過不安全的連接來發(fā)送登錄憑據(jù)，其中18款在有公開披露、廠商通知的情況下仍未安裝補丁，在某些情況下，多個版本的更新解決的并不是安全問題。邁克菲實驗室研究人員模擬了中間人(MITM)攻擊，成功截獲了在一般認為安全的SSL會話中共享的信息。這些易于被攻擊的數(shù)據(jù)包括用戶名和密碼，在一些案例中，還包含社交網(wǎng)絡以及其他第三方服務的登錄憑據(jù)。

盡管沒有證據(jù)表明這些移動應用程序已經(jīng)被漏洞攻擊所利用，但考慮到這些應用程序不斷累積的巨大下載量，邁克菲實驗室研究成果表明，移動應用程序開發(fā)商選擇不對SSL漏洞打補丁的做法，已使數(shù)以百萬計的用戶暴露在 MITM 攻擊目標的潛在風險中。

邁克菲實驗室（Intel Security 集團成員）高級副總裁 Vincent Weafer 指出：“無論對于個人用戶還是企業(yè)用戶，移動設備已成為不可或缺的工具，我們的生活已經(jīng)離不開這些設備，以及基于這些設備所運行的應用程序。對我們而言，數(shù)字可信度是真正發(fā)揮這些設備所提供的功能，并因此而受益的先決條件。移動應用程序開發(fā)商必須承擔更大的責任，確保其應用程序嚴格遵循安全編程準則以及過去十年所開發(fā)的漏洞響應規(guī)范，只有這樣才能為我們提供所需的保護，讓我們的數(shù)字生活安全無憂?！?/span>

邁克菲實驗室密切跟蹤的第四季度另一大發(fā)展態(tài)勢是Angler漏洞攻擊套件的崛起―─它是網(wǎng)絡犯罪即服務(cybercrime-as-a-service)經(jīng)濟領域的最新成果之一，這一現(xiàn)成可用的工具提供了更加惡意的功能。研究人員發(fā)現(xiàn)，2014 年下半年，網(wǎng)絡犯罪分子呈現(xiàn)向Angler遷移的態(tài)勢，在眾多漏洞攻擊套件中受歡迎的程度超過了Blacole。Angler 采用了一系列逃逸技術，能夠規(guī)避虛擬機、沙盒和安全軟件的檢測，并且會頻繁變換模式和有效負載來隱匿蹤跡以逃過一些安全防護產品的法眼。

這一犯罪軟件包包含易于使用的攻擊特性以及一些新的功能，例如，無文件感染(file-less infection)、虛擬機和安全產品逃避，能夠提供廣泛的有效負載（包括針對銀行業(yè)務的木馬、根工具包、勒索軟件、CryptoLocker 和后門木馬等）。

本報告還揭示了 2014 年最后一個季度其他的一些威脅發(fā)展態(tài)勢，具體如下：

?移動惡意軟件。根據(jù)邁克菲實驗室的報告，2014 年第四季度移動惡意軟件樣本數(shù)量增長 14%，亞洲和非洲感染率創(chuàng)出新高。在邁克菲所監(jiān)控的移動系統(tǒng)中至少有8%在2014 年第四季度被報告遭受過感染，大部分是由 AirPush 廣告網(wǎng)絡所致。

?潛在有害程序。在第四季度，邁克菲實驗室每天在 9100 萬個系統(tǒng)中檢測到PUP。邁克菲實驗室分析稱，PUP日漸猖獗，它們會偽裝成合法應用程序來執(zhí)行未經(jīng)授權的操作，例如，顯示無意圖廣告、修改瀏覽器設置或者采集用戶和系統(tǒng)數(shù)據(jù)。

?勒索軟件。第三季度起，新的勒索軟件樣本數(shù)量在經(jīng)歷四個季度下降后開始重拾升勢。第四季度，新樣本數(shù)量增長155%。

?簽名惡意軟件。新惡意簽名二進制文件在出現(xiàn)短暫下降后，在第四季度重新恢復增長，簽名二進制文件增長 17%。

?惡意軟件。邁克菲實驗室現(xiàn)在每分鐘檢測到 387 個，或者說每秒有超過 6 個惡意軟件新樣本。