一、小白劇場(chǎng)
小白：東哥，現(xiàn)在的手機(jī)功能真是越來(lái)越豐富，越來(lái)越方便了呢！前段時(shí)間我剛換了一款手機(jī)，幾乎所有的事情只要用我的手機(jī)就能解決了，什么也不用帶，真是愜意??！
大東：哈哈，你還真是趕潮流呢，手機(jī)換的挺勤??！正像你所說(shuō)的，現(xiàn)在的移動(dòng)設(shè)備真的是越來(lái)越方便了，什么手機(jī)支付、手機(jī)購(gòu)票、手機(jī)訂餐等等，只需要一個(gè)電話，就能解決我們的衣食住行！
移動(dòng)設(shè)備下的衣食住行 （圖片來(lái)自網(wǎng)絡(luò)）
小白：是啊，東哥，給你看看我的新手機(jī)，好看不？要不你也換一個(gè)手機(jī)吧，我看你口袋里的手機(jī)都使好幾年了！
大東：哈哈，是該考慮更新?lián)Q代了。不過(guò)在這之前，我要考考你，你知道在這些移動(dòng)設(shè)備帶給我們便利的同時(shí)，還給我們帶來(lái)哪些安全威脅嗎？
小白：這些我倒真沒(méi)怎么考慮過(guò)，完全沉浸在手機(jī)帶給我的舒適感了，東哥快給我普及一下這方面的知識(shí)吧，要不將來(lái)某天我被自己的手機(jī)“襲擊”了都不知道怎么回事。
大東：好，接下來(lái)我就給你掃一掃移動(dòng)設(shè)備安全這方面的盲點(diǎn)。
小白：快點(diǎn)講吧，東哥。
二、移動(dòng)威脅的前生今世
大東：有數(shù)據(jù)記載，2017年上半年，手機(jī)移動(dòng)設(shè)備迎來(lái)使用高峰，這大大促進(jìn)了相關(guān)移動(dòng)設(shè)備廠商的發(fā)展，但同時(shí)，網(wǎng)絡(luò)犯罪分子也跟緊時(shí)代浪潮，將矛頭轉(zhuǎn)向了移動(dòng)網(wǎng)絡(luò)！
小白：原來(lái)在2017年手機(jī)網(wǎng)絡(luò)就已經(jīng)這么普及了啊，那在2017年犯罪分子有采取行動(dòng)嗎？
大東：犯罪分子的目標(biāo)只有一個(gè)，就是獲取不法利益，他們當(dāng)然會(huì)審時(shí)度勢(shì)，不會(huì)錯(cuò)失大好的攻擊機(jī)會(huì)。僅在2017年第一季度，就發(fā)生了超過(guò)1600萬(wàn)件的移動(dòng)惡意軟件攻擊事件，并且McAfee實(shí)驗(yàn)室當(dāng)時(shí)就已檢測(cè)到多達(dá)150萬(wàn)種新的移動(dòng)惡意軟件。
小白：這么可怕的攻擊效率嗎？東哥，快給我介紹一下移動(dòng)安全方面有哪些我們需要注意的的內(nèi)容吧。
大東：首先談一談我們?nèi)粘Ｉ钪谐Ｒ?jiàn)的移動(dòng)安全內(nèi)容吧，畢竟小白你經(jīng)常會(huì)遇到。
小白：好的，東哥。是什么內(nèi)容呢？
大東：那就是小白你無(wú)時(shí)不刻不在使用的移動(dòng)支付服務(wù)。
小白：移動(dòng)支付怎么了呢？不就是“掃一掃”，就花錢買到我們想要的東西了么，比用錢包拿鈔票方便多了！
大東：嘿嘿，就是這個(gè)“掃一掃”，可有大文章。近年來(lái)移動(dòng)支付遍布大街小巷，不論是大型商場(chǎng)還是路邊煎餅小攤，隨處可見(jiàn)“掃一掃”支付。一定意義上而言，移動(dòng)支付便利了我們的生活，但同時(shí)不法分子也會(huì)暗中放冷槍。
小白：（不禁打了個(gè)寒顫）什么冷槍？這么瘆人！
大東：首先我給你講一講二維碼這個(gè)東西，二維碼支付流程分為支付指令的生成和處理兩個(gè)階段。其中支付的風(fēng)險(xiǎn)點(diǎn)主要集中在指令生成階段的二維碼生成和識(shí)別環(huán)節(jié)。
小白：之后呢？這個(gè)冷槍在這個(gè)環(huán)節(jié)是怎么“射”出的？
大東：哈哈，你先別急。二維碼的碼制有國(guó)家標(biāo)準(zhǔn)，雖然它在技術(shù)上已經(jīng)有了國(guó)家標(biāo)準(zhǔn)——QR碼，但二維碼在應(yīng)用上還沒(méi)有相應(yīng)的規(guī)范，并且目前二維碼市場(chǎng)缺少安全技術(shù)手段對(duì)手機(jī)掃碼進(jìn)行管控，可以說(shuō)無(wú)人監(jiān)管。
小白：無(wú)人監(jiān)管就是一個(gè)契機(jī)吧？
大東：沒(méi)錯(cuò)！QR二維碼的碼型是開(kāi)放的，當(dāng)前二維碼制作標(biāo)準(zhǔn)的門檻低，任何人都能輕而易舉地制作。如果有人制作了惡意二維碼，用戶掃碼后接入隱藏在二維碼背后的假鏈接、假網(wǎng)站，攻擊者就可以通過(guò)網(wǎng)站非法騙取受害者的資金、盜取受害者的身份信息等。
掃碼釣魚（圖片來(lái)自網(wǎng)絡(luò)）
小白：看來(lái)平時(shí)掃碼的時(shí)候我也要小心了。東哥，再給我介紹一下移動(dòng)安全的其他內(nèi)容吧？
大東：好，咱們接著聊。說(shuō)完了市井之間，咱們?cè)僬f(shuō)說(shuō)企業(yè)中的移動(dòng)安全。
小白：東哥，別賣關(guān)子了，快講吧。（期待地揣手手）
大東：企業(yè)需要注意的是一類APT持續(xù)的、企業(yè)級(jí)的間諜軟件。
小白：這是為什么呢？這種間諜軟件是怎么一回事？
大東：企業(yè)員工在與企業(yè)網(wǎng)絡(luò)訪問(wèn)、語(yǔ)音激活和 gps 跟蹤等移動(dòng)設(shè)備緊密接近的情況下，惡意攻擊者便會(huì)使用間諜軟件來(lái)感染移動(dòng)設(shè)備。這一策略在 ios 和 android 設(shè)備上都得到了成功的證明。
小白：哇哦，有什么間諜軟件的例子嗎，東哥？
大東：2017年8月的帕伽索斯間諜軟件，能夠劫持掉任何 ipad 或 iphone ，之后進(jìn)行數(shù)據(jù)收集和監(jiān)視。并且研究人員還發(fā)現(xiàn)了三個(gè) ios 0day 漏洞，一旦被攻擊者利用，就會(huì)形成攻擊鏈，甚至破壞蘋果強(qiáng)大的安全環(huán)境。
小白：這么恐怖，連蘋果的IOS安全環(huán)境都攻破了嗎？
大東：好在蘋果在其9.3.5 補(bǔ)丁中迅速修復(fù)了這三個(gè)ios 漏洞，沒(méi)有造成嚴(yán)重后果。
小白：有沒(méi)有襲擊android系統(tǒng)的間諜軟件呢？
大東：2017年4月，飛馬間諜軟件版本的 android 偽裝成一個(gè)正常的應(yīng)用程序身份供用戶下載，一旦被下載攻擊者便會(huì)秘密獲取設(shè)備root權(quán)限，來(lái)監(jiān)視用戶。
小白：看來(lái)大公司還要在移動(dòng)設(shè)備的安全方面多多注意啊。
大東：沒(méi)錯(cuò)，如果不法分子想攻擊一家公司，那么一個(gè)可能的途徑就是攻擊一個(gè)特定組織的移動(dòng)設(shè)備。目前仍然有很多組織允許他們的移動(dòng)設(shè)備在公司網(wǎng)絡(luò)上存在, 甚至包括一些更高價(jià)值的設(shè)備。所以移動(dòng)設(shè)備安全是重中之重！
三、移動(dòng)威脅的防范措施
小白：東哥，講了這么多移動(dòng)安全的內(nèi)容，我們平時(shí)要怎么防范這種移動(dòng)威脅呢？
大東：首先，最基礎(chǔ)的也是最重的就是移動(dòng)安全知識(shí)的普及，因?yàn)榇蠖鄶?shù)移動(dòng)威脅的矛頭都指向了兢兢業(yè)業(yè)的“勞動(dòng)人民”。
小白：沒(méi)錯(cuò)，現(xiàn)在雖然或聯(lián)網(wǎng)、移動(dòng)設(shè)備普及，但安全知識(shí)的普及卻遠(yuǎn)遠(yuǎn)不夠，才導(dǎo)致的移動(dòng)威脅萌芽。東哥，我們需要普及哪些知識(shí)呢？
大東：針對(duì)“掃碼”隱患問(wèn)題，要使群眾認(rèn)識(shí)到二維碼的安全隱患。對(duì)消費(fèi)者而言，應(yīng)該在安全意識(shí)和技術(shù)保障兩方面扎緊籬笆。對(duì)監(jiān)管層而言，應(yīng)盡快制定有關(guān)二維碼的監(jiān)管法規(guī)，同時(shí)，加強(qiáng)查處打擊力度，保護(hù)消費(fèi)者的權(quán)益，在遇到二維碼詐騙案件時(shí)，應(yīng)及時(shí)關(guān)閉相關(guān)運(yùn)營(yíng)商。
小白：嗯嗯！那東哥，還有沒(méi)有其他針對(duì)企業(yè)的防范措施呢？
大東：在企業(yè)中，首先要提高企業(yè)對(duì)移動(dòng)安全的重視，以及加強(qiáng)所使用的現(xiàn)代移動(dòng)端操作系統(tǒng)內(nèi)置的保護(hù)機(jī)制。尤其是新興的物聯(lián)網(wǎng)，無(wú)防護(hù)措施的物聯(lián)網(wǎng)設(shè)備導(dǎo)致的數(shù)據(jù)泄露問(wèn)題將會(huì)是災(zāi)難性的。
小白：針對(duì)移動(dòng)網(wǎng)絡(luò)，我們有沒(méi)有什么整體的保護(hù)機(jī)制呢？
大東：要保護(hù)整個(gè)移動(dòng)網(wǎng)絡(luò)是非常困難的，因?yàn)樗稚⒘?！如果你的?yīng)用程序下載了一個(gè)簡(jiǎn)單的更新，這是一回事，但如果它下載了一個(gè)更新，然后啟動(dòng)一個(gè)惡意的活動(dòng)，這就是完全不同的故事了。
小白：確實(shí)，那在企業(yè)中應(yīng)該怎樣從威脅源頭降低攻擊發(fā)生的可能性呢？
大東：對(duì)于公司而言，為了更好的降低風(fēng)險(xiǎn)，用戶行為意識(shí)和員工培訓(xùn)都應(yīng)該隨著威脅不斷加強(qiáng)，防止員工被釣魚導(dǎo)致公司受損失；同時(shí)對(duì)于一些敏感數(shù)據(jù)，采取數(shù)據(jù)丟失防護(hù)（DLP）工具是最有效的保護(hù)方式。
數(shù)據(jù)泄露（圖片來(lái)自網(wǎng)絡(luò)）
四、移動(dòng)威脅攻擊事件
小白：東哥，有什么比較著名的移動(dòng)威脅攻擊的案例，給我介紹介紹唄？
大東：2016年11月，某互聯(lián)網(wǎng)安全公司發(fā)布報(bào)告稱，一款名為 “Gooligan” 的特洛伊木馬程序?qū)⒆约簜窝b成合法應(yīng)用入侵Android智能手機(jī)和平板電腦，自8月以來(lái)已控制了 100 多萬(wàn)個(gè)谷歌賬號(hào)。
小白：數(shù)據(jù)好驚人啊，那他是怎么出現(xiàn)的呢？
大東：這個(gè)惡意軟件曾被幾個(gè)安全廠商報(bào)告，并歸因于不同的惡意軟件家族，如Ghostpush、MonkeyTest和Xinyinhe。直到2016年的夏天，惡意軟件再次出現(xiàn)一個(gè)更復(fù)雜的架構(gòu)，注入了惡意代碼到Android系統(tǒng)進(jìn)程。
小白: 原來(lái)是蓄謀已久啊，那它又是怎樣工作的呢？
大東：當(dāng)用戶在易受攻擊的Android設(shè)備上下載并安裝Gooligan感染的應(yīng)用程序時(shí)，感染開(kāi)始。用戶也可以直接通過(guò)在網(wǎng)絡(luò)釣魚攻擊消息中點(diǎn)擊惡意鏈接進(jìn)行下載。
小白：安裝感染程序之后呢？
大東：安裝受感染的應(yīng)用程序后，它會(huì)將有關(guān)設(shè)備的數(shù)據(jù)發(fā)送到廣告系列的命令和控制（C＆C）服務(wù)器。Gooligan然后從C＆C服務(wù)器下載一個(gè)rootkit，利用多個(gè)Android 4和5漏洞，包括著名的VROOT（CVE-2013-6282）和Towelroot（CVE-2014-3153）。
小白：這些漏洞沒(méi)有修復(fù)嗎？
大東：這些漏洞仍然困擾著今天的許多設(shè)備，因?yàn)樾迯?fù)它們的安全補(bǔ)丁可能不適用于某些版本的Android，或者補(bǔ)丁從來(lái)沒(méi)有由用戶安裝。
小白：還是挺麻煩的一件事呢！如果它下載成功呢？
大東：如果成功，攻擊者可以完全控制設(shè)備，并可以遠(yuǎn)程執(zhí)行特權(quán)命令。在獲得root訪問(wèn)權(quán)限后，Gooligan還會(huì)從C＆C服務(wù)器下載一個(gè)新的惡意模塊，并將其安裝在受感染的設(shè)備上。
小白：該模塊有什么作用呢？
大東：該模塊將代碼注入，運(yùn)行谷歌Play或GMS（谷歌移動(dòng)服務(wù)）來(lái)模擬用戶行為，以便Gooligan可以躲避檢測(cè)。
小白：它做了這么多，最后的目的是什么呢？
大東：它們主要竊取用戶的Google電子郵件帳戶和身份驗(yàn)證令牌信息，安裝廣告軟件以產(chǎn)生收入等。同時(shí)當(dāng)授權(quán)令牌被黑客竊取后，他們可以使用此令牌訪問(wèn)與該用戶相關(guān)的所有Google服務(wù)，包括Google Play，Gmail，Google文檔，Google云端硬盤和Google相冊(cè)。
Gooligan攻擊過(guò)程（圖片來(lái)自網(wǎng)絡(luò)）
小白：真是棘手啊，東哥，那這個(gè)事件最后是怎樣解決的呢？
大東：事件發(fā)生一段時(shí)間后，谷歌在Google+上發(fā)帖，呼吁用戶只通過(guò)Play下載應(yīng)用。另外，對(duì)于越來(lái)越多的安卓安全風(fēng)險(xiǎn)，谷歌負(fù)責(zé)安卓安全事務(wù)的高管AdrianLudwig日前發(fā)表文章表示，他們已采取了許多措施來(lái)保障安卓生態(tài)系統(tǒng)的安全性。
小白：大概都有哪些措施呢？
大東：這當(dāng)中包括取消受惡意軟件感染用戶的令牌信息，重新讓他們安全登錄谷歌賬號(hào)；在用戶的設(shè)備上刪除惡意軟件；另外推出“Verify Apps”等功能。谷歌也在和寬帶接入公司進(jìn)行合作，共同消滅惡意軟件。
小白：那我們國(guó)內(nèi)的應(yīng)用要不要特別注意一下呢？
大東：國(guó)內(nèi)的應(yīng)用不需要太過(guò)擔(dān)心。國(guó)內(nèi)大部分的應(yīng)用平臺(tái)都有自己的檢測(cè)體系，能夠有效的防止惡意應(yīng)用被安裝用戶手機(jī)中。如果還是不放心自己的手機(jī)安全，可以對(duì)手機(jī)權(quán)限進(jìn)行管理，同時(shí)取消已經(jīng)授權(quán)的ROOT權(quán)限應(yīng)用。
五、移動(dòng)威脅防御技術(shù)的未來(lái)
小白：移動(dòng)威脅問(wèn)題無(wú)論怎么肆虐，我們總能找到最新手段來(lái)應(yīng)對(duì)，邪不勝正。東哥，能給我介紹一下防御技術(shù)的最新研究嗎？
大東：目前，市面上有許多移動(dòng)威脅防御系統(tǒng)，我就給你舉個(gè)例子聊聊我國(guó)強(qiáng)大的移動(dòng)威脅防御技術(shù)吧。
小白：好的，東哥，快講吧。
大東：某互聯(lián)網(wǎng)公司曾推出一款移動(dòng)威脅防御系統(tǒng)，是解決移動(dòng)終端安全問(wèn)題的重要工具，是集風(fēng)險(xiǎn)檢測(cè)、數(shù)據(jù)收集、風(fēng)險(xiǎn)分析、安全分析等功能為一體的移動(dòng)威脅防御系統(tǒng)。
小白：感覺(jué)好強(qiáng)大的樣子，他的核心功能是什么呢？
大東：首先，它提供終端威脅感知，并有極強(qiáng)的檢測(cè)能力，主要包括應(yīng)用安全檢測(cè)、網(wǎng)絡(luò)安全檢測(cè)、系統(tǒng)安全檢測(cè)、系統(tǒng)漏洞檢測(cè)四個(gè)方面。其次是策略中心對(duì)終端安全健康分?jǐn)?shù)評(píng)級(jí)，讓用戶對(duì)終端安全狀態(tài)有直觀感受。
小白：一些企業(yè)常常需要做報(bào)表展示數(shù)據(jù)，該系統(tǒng)有報(bào)表功能嗎？
大東：當(dāng)然，數(shù)據(jù)報(bào)表中心可對(duì)終端所有安全檢測(cè)記錄掃描，并上報(bào)，同時(shí)展示每次掃描的風(fēng)險(xiǎn)項(xiàng)。風(fēng)險(xiǎn)項(xiàng)數(shù)據(jù)包括：掃描的時(shí)間、掃描的風(fēng)險(xiǎn)、風(fēng)險(xiǎn)內(nèi)容，風(fēng)險(xiǎn)在終端的路徑、風(fēng)險(xiǎn)威脅等。
小白：對(duì)于移動(dòng)威脅的相關(guān)數(shù)據(jù)，他是怎樣處理的呢？
大東：它通過(guò)對(duì)所有終端安全掃描的數(shù)據(jù)收集，動(dòng)態(tài)展示終端掃描的所有的風(fēng)險(xiǎn)應(yīng)用，顯示應(yīng)用名、風(fēng)險(xiǎn)類型、風(fēng)險(xiǎn)最早發(fā)現(xiàn)時(shí)間、包名、文件類型、感染終端。
小白：哇，這個(gè)系統(tǒng)功能真的是很全面呢，是防御移動(dòng)威脅的一把利器。
大東：沒(méi)錯(cuò)，對(duì)于我們而言，有一把防御的利器還是遠(yuǎn)遠(yuǎn)不夠的，我們還要提升自身的安全意識(shí)，掌握實(shí)時(shí)的互聯(lián)網(wǎng)安全防御知識(shí)和技術(shù)，才能在使用類似的移動(dòng)威脅防御系統(tǒng)時(shí)，發(fā)揮出其真正的實(shí)力，才能更好地保護(hù)自身的財(cái)產(chǎn)安全和國(guó)家的網(wǎng)空安全！
參考文獻(xiàn)：
1. 2019年 這6大移動(dòng)安全威脅需要認(rèn)真對(duì)待
https://baijiahao.baidu.com/s?id=1618891929641178337&wfr=spider&for=pc
2. 別把移動(dòng)安全不當(dāng)回事兒！來(lái)看移動(dòng)安全5個(gè)主要威脅~
https://baijiahao.baidu.com/s?id=1591796184603903706&wfr=spider&for=pc
3. “Gooligan”病毒入侵 130 萬(wàn)谷歌賬戶
https://www.kejianet.cn/gooligan/
4. 超過(guò)100萬(wàn)谷歌帳戶被Gooligan黑了
https://www.jdon.com/48566
來(lái)源：中國(guó)科學(xué)院計(jì)算技術(shù)研究所
聯(lián)系客服
