邁克菲實驗室最新威脅報告：移動應用程序漏洞百出
在2014年9月報告中發現的存在漏洞的25款熱門移動應用程序中仍有18款未打補丁;不安全的 Web會話使數以百萬計的手機用戶淪為中間人攻擊的目標。
近日，Intel Security發布了《邁克菲實驗室威脅報告：2015年2月刊》，報告對移動威脅態勢進行了評估，以及移動應用程序開發商未對重大安全套接層 (SSL) 漏洞打補丁，從而給數以百萬計的手機用戶造成了潛在威脅。邁克菲實驗室還詳解了日漸“走紅”的 Angler 漏洞攻擊套件，并對愈發猖獗的潛在有害程序(PUP)發出警告，該套件能改變系統設置，并在用戶毫不知情的情況下采集個人信息。
根據中國互聯網絡信息中心發布的《中國互聯網發展狀況統計報告》，截至2014年12月，中國手機網民規模達5.57億，較2013年底增加5672萬人。網民中使用手機上網人群占比由2013年的81.0%提升至85.8%，手機應用的使用率也大幅提高，其中手機網上支付規模達到2.17億，全年增長率為73.2%，網民手機支付的使用比例由25.1%提升至39.0%。
甫剛結束的農歷春節更是中國用戶手機使用率的高峰，朋友聚會、年夜飯刷手機、搖一搖、使用移動應用程序成為標準動作。為了趕搭春節搶紅包、發紅包的熱潮，許多手機用戶也隨即綁定了銀行賬戶信息，移動支付終端用戶迅速增加。殊不知伴隨紅包滿天飛，紅包騙局和用戶隱私數據泄漏等安全隱患也浮上臺面，再次引發社會對手機移動端安全問題的關注。
邁克菲實驗室研究表明，移動應用程序開發商在應對最基本的SSL漏洞方面行動遲緩：缺乏適當的數字證書鏈驗證。2014 年 9 月，卡內基梅隆大學 (Carnegie Mellon University) 計算機緊急響應小組 (CERT) 公布了存在此類缺陷的移動應用程序名單，其中包括下載量超過百萬的應用程序。
一月份，邁克菲實驗室對CERT名單中25款最熱門的應用程序進行測試，發現這些應用程序都通過不安全的連接來發送登錄憑據，其中18款在有公開披露、廠商通知的情況下仍未安裝補丁，在某些情況下，多個版本的更新解決的并不是安全問題。邁克菲實驗室研究人員模擬了中間人(MITM)攻擊，成功截獲了在一般認為安全的SSL會話中共享的信息。這些易于被攻擊的數據包括用戶名和密碼，在一些案例中，還包含社交網絡以及其他第三方服務的登錄憑據。
盡管沒有證據表明這些移動應用程序已經被漏洞攻擊所利用，但考慮到這些應用程序不斷累積的巨大下載量，邁克菲實驗室研究成果表明，移動應用程序開發商選擇不對SSL漏洞打補丁的做法，已使數以百萬計的用戶暴露在 MITM 攻擊目標的潛在風險中。
邁克菲實驗室(Intel Security 集團成員)高級副總裁 Vincent Weafer 指出：“無論對于個人用戶還是企業用戶，移動設備已成為不可或缺的工具，我們的生活已經離不開這些設備，以及基于這些設備所運行的應用程序。對我們而言，數字可信度是真正發揮這些設備所提供的功能，并因此而受益的先決條件。移動應用程序開發商必須承擔更大的責任，確保其應用程序嚴格遵循安全編程準則以及過去十年所開發的漏洞響應規范，只有這樣才能為我們提供所需的保護，讓我們的數字生活安全無憂。”
邁克菲實驗室密切跟蹤的第四季度另一大發展態勢是Angler漏洞攻擊套件的崛起—─它是網絡犯罪即服務(cybercrime-as-a-service)經濟領域的最新成果之一，這一現成可用的工具提供了更加惡意的功能。研究人員發現，2014 年下半年，網絡犯罪分子呈現向Angler遷移的態勢，在眾多漏洞攻擊套件中受歡迎的程度超過了Blacole。Angler 采用了一系列逃逸技術，能夠規避虛擬機、沙盒和安全軟件的檢測，并且會頻繁變換模式和有效負載來隱匿蹤跡以逃過一些安全防護產品的法眼。
這一犯罪軟件包包含易于使用的攻擊特性以及一些新的功能，例如，無文件感染(file-less infection)、虛擬機和安全產品逃避，能夠提供廣泛的有效負載(包括針對銀行業務的木馬、根工具包、勒索軟件、CryptoLocker 和后門木馬等)。
本報告還揭示了 2014 年最后一個季度其他的一些威脅發展態勢，具體如下：
• 移動惡意軟件。根據邁克菲實驗室的報告，2014 年第四季度移動惡意軟件樣本數量增長 14%，亞洲和非洲感染率創出新高。在邁克菲所監控的移動系統中至少有8%在2014 年第四季度被報告遭受過感染，大部分是由 AirPush 廣告網絡所致。
• 潛在有害程序。在第四季度，邁克菲實驗室每天在 9100 萬個系統中檢測到PUP。邁克菲實驗室分析稱，PUP日漸猖獗，它們會偽裝成合法應用程序來執行未經授權的操作，例如，顯示無意圖廣告、修改瀏覽器設置或者采集用戶和系統數據。
• 勒索軟件。第三季度起，新的勒索軟件樣本數量在經歷四個季度下降后開始重拾升勢。第四季度，新樣本數量增長155%。
• 簽名惡意軟件。新惡意簽名二進制文件在出現短暫下降后，在第四季度重新恢復增長，簽名二進制文件增長 17%。
• 惡意軟件。邁克菲實驗室現在每分鐘檢測到 387 個，或者說每秒有超過 6 個惡意軟件新樣本。
