米柚愛好者論壇

標題: 手機影音 app 機頂盒全部中招內置木馬? [打印本頁]

作者: smartyi 時間: 2014-7-19 19:00
標題: 手機影音 app 機頂盒全部中招內置木馬?
轉貼:http://www.enterpr1se.info/2014/ ... lt-in-trojan-horse/

應該很多人中招了

 http://cdn4.enterpr1se.info/wp-content/uploads/2014/07/EastWeek-568-545x700.jpg
企企平時沒有看《東周刊》，不過今天見到封面幾吸引，說手機影音 app 和機頂盒都內置木馬，所以八卦買來一看。
今次它測試了 4 款機頂盒和十多款 app，當然不是記者去測試，是由一間叫 Nexusguard 的公司去負責測試，企企看過有關公司的網頁，是一保安公司，主要防範 DDoS, SQL injections 等等網絡攻擊，相信都是一間專業的公司。
今次測試是用 Dr.Web, Avast, ESET 去測試 Google play 上的軟件，發現其中 4 個大陸影音 app，PPTV、PPS 影音、優酷視頻、風行視頻都有 Android.Spy.origin.83 這隻木馬。
這四隻都是香港人比較常用的影音 app，所以相信都有頗多人中招。
根據書中所說，一部安裝了 PPS, PPTV, 優酷三個 app 的 Android 機，Nexusguard 人員只需要 5 分鐘就可以 hack 進去看到機內的相片，可以用手機的鏡頭偷拍，和長開 mic 竊聽，可謂非常恐怖。
另外亦有測試小米盒第二代越獄版、英菲克i9、英菲克i6 和海美迪 H8 四部機頂盒，結果小米，英菲克等三部都有 Android.Spy.origin.83，而英菲克那兩部更有 Android.DDoS.origin.1 這個 DDoS 攻擊程式，而海美迪則只有一個播廣告的木馬。
機頂盒有木馬可以做到的可能是偷你機頂盒上所輸入的資料，如優酷帳號等，要知道大部份人在各平台上的 username 和 password 都是一致，所以如果知你優酷帳號，可能有很多其他平台也能登入。
另外黑客亦可以經機頂盒作跳板，入侵網絡內 (即是用戶家裏) 其他不安全的電腦；不過企企比較擔心是機頂盒安裝 network suffer，這樣的話你去過那些網站，和所以未經加密的登入資料等都可以被機頂盒攔截，送一份副本到黑客手中。
而 DDoS 經過普及投票 popvote，蘋果日報被攻擊之後，大家應該都不會佰生，所以如果買了這些機頂盒，你可能已經成為當日攻擊的一份子了。(當日對 popvote 發出攻擊的都是香港 IP)

當然今次他們的測試在沒有詳細資料情況下，不能盡信，例如今次測試用甚麽機型 (大陸有 Android 機新機已內置木馬)；系統是否清洗後重新設定，才去 Google Play 上安裝測試的 App.
機頂盒的測試環境也有問題，只有英菲克 i9 是在商鋪直接購買作測試，其他三部都是由已經使用中的用戶搜集而來，所以可能已經安裝了一些有問題的 app 而影響測試結果。
所以在未提供進一步測試環境資料情況下，很難去完全相信一本八卦雜誌，期待有真正 IT 背景的記者/組織能全面測試一次。
根據本 blog 讀者提供的資料，今次測試是的機頂盒，手機等等，在測試前都已清洗原本資料，回復原廠設定才進行測試。
而測試地點在 Nexusguard 的 Lab 進行，過程符合 ISO 27037 , PA-DSS 等業界標準，所以這次測試是一個正式可信的測試，亦証實 PPTV、PPS 影音、優酷等 App 的危險性，形響範圍廣泛而且嚴重。
比較奇怪的是 Android.Spy.origin.83 這隻木馬，Google 過但是找不到這隻毒的詳細資料，雖然幾個 online scanner 都見到有 app 曾經掃到這隻木馬但沒有詳細資料，可以說是「迷」一般的木馬。
不過，無論如何，一部已回復原廠設定，只安裝三個大陸影音 App 的 Android 手機，只需 5 min 就已經被 hack，這點就非常值得注意，尤其一般用戶的保安意識非常薄弱，很易招至損失。

而保安意識薄弱原因大部份因為覺得自己不是名人，資料沒價值，而電話又沒有床照，就算萬一被偷相也沒有甚麼大不了。
這種想法有一部份是對，黑客對你個人資料興趣只限於$$ — 集合所有受害人的個人資料以 package 形式賣給其他有興趣的人，如詐騙集團，簡單想到的行騙方式如扮受害人打電話給老人家借錢等，因為已經拿了你很多個人資料，知你姓甚名誰，也拿了你電話簿內所有親威朋友的電話，行騙方法對他們來說，要多少有多少吧。
另外黑客亦可以經這隻木馬安裝其他功能更強的木馬，如撥打長途電話，不停 send SMS 等，從中取利。
如果電話已 root 的就更危險，可以安裝 keylogger 記錄你所輸入的每個字，如信用卡 number.
所以不要以為自己不重要…….除非 $$ 對於你來說並不重要，被黑客偷錢當炫富，証明自己有錢豪得起。
http://cdn1.enterpr1se.info/wp-content/uploads/2014/07/Dr-Web-scan-result-393x700.jpg用 Dr. Web scan 就見到由 Google PlayStore 下載的優酷，PPS 都有病毒。
而另一個香港人較常用的千尋，Dr.Web 並未掃到有毒。另外不少大陸 app 都要求一堆和自身功能無關的權限，例如 PPTV，就要求

你電話的所有帳號，如 Google 帳號、小米帳號等等
你的位置，甚至是 GPS 的精確位置
存取、删除你 device 的相片、檔案，包括 device、SD Card、外置 USB 手指等等
錄音、影相
更改系統設定

http://cdn1.enterpr1se.info/wp-content/uploads/2014/07/pptv-right-request-405x700.png
這些功能其實和播片完全沒有關係，但如果 app 內內置木馬，或者有「敏感」人物安裝了，都會令 device 完全曝露於黑客面前。
就如今次測試可以做到的，實行偷拍與竊聽。
所以每次安裝 app 前都需要格外留神，以免給予一些危險的權限。
如果那些 app 強制要求存最這些無關但又危險的權限，用戶最好都不要安裝了。

作者: kobito 時間: 2014-7-19 20:27
喔!
沒想到可以坐沙發!
感謝版大的分享

作者: 吳主任 時間: 2014-7-19 20:39
我的英菲克i6也中獎了

作者: 道奇兔 時間: 2014-7-19 20:59
圍觀樓上悲劇~~速速發來核電恭喜

作者: isakira 時間: 2014-7-19 21:01
恭喜恭喜新年好

作者: Mi2Sir 時間: 2014-7-19 21:06
哈哈哈,
我那麼多盒子
他講的牌子我都有
尤其小米的特別多
矮油! 受重傷!

作者: sheng98q 時間: 2014-7-19 21:36
這就是政府為什麼一直不用想大陸貨(電子產品)的原因

作者: 泥甕鹿 時間: 2014-7-19 22:00
幸好這些東西都沒有

作者: Ranger 時間: 2014-7-19 22:04
現在大陸的APP都會要很多無關的權限，而越要越多

作者: postman2 時間: 2014-7-20 10:43
也難怪其他國家在防堵中國的網通設備

作者: 米蟲 時間: 2014-7-20 12:54
本帖最後由米蟲於 2014-7-20 13:11 編輯

近日有點反常,事件起源都是香港"半調子"人士引爆,而且很有針對性!
都是挑大陸的商品或APP下手,其他同類產品和APP卻不進行相同條件下的對比檢視,我覺得很不單純!

作者: injoy 時間: 2014-7-21 08:38

還好我都沒裝

作者: kid888 時間: 2014-7-21 09:33
科技始終來自於人性
這些後門的出發點是善?是惡?
只能自己衡量

作者: 餃子 時間: 2014-7-21 10:17
不是可以關權限嗎？...難道沒用

作者: 米蟲 時間: 2014-7-21 11:03
本帖最後由米蟲於 2014-7-21 15:10 編輯

看不出可笑的地方嗎?
先不管測試的機器是否是原廠初始狀態未經改動使用過,
所謂的"專業人士"和我們普通民眾一樣用防毒軟體來查木馬?不知道防毒軟體很容易誤報?
更搞笑的是查出有"Android.Spy.origin.83"木馬,這些所謂"專業人士""Google 過但是找不到這隻毒的詳細資料，雖然幾個 online scanner 都見到有 app 曾經掃到這隻木馬但沒有詳細資料，可以說是「迷」一般的木馬。"

拜托專業一點拿出確實可靠的證據,把這些陸產盒子一棒子打死,永無翻身之日,別再用這種"似是而非,錯漏百出"的方式來唬弄我們這些普通民眾.

作者: bland579 時間: 2014-7-21 11:31
我想...只要裝置一連網就有被駭的可能了(被害妄想症)...

如果真的怕，那只能不要用了...
(還好我的手機相簿內沒床照)

作者: maple512 時間: 2014-7-21 15:42
可是根據另一篇文

http://mi.ezbox.idv.tw/thread-3191-1-1.html

這些不是快要無法使用了嗎?

作者: a760001 時間: 2014-7-21 15:49

bland579 發表於 2014-7-21 11:31 static/image/common/back.gif
我想...只要裝置一連網就有被駭的可能了(被害妄想症)...

如果真的怕，那只能不要用了...

我也沒有床罩阿......

歡迎光臨米柚愛好者論壇 (https://mi.ezbox.idv.tw/)