| 手機(jī)“病毒”分析 | |
| http://www.handjoy.com.cn 2007-2-12 9:55:25 CNET中國·PChome.net | |
| 一、前言 手機(jī)病毒一直被吵得沸沸揚(yáng)揚(yáng)，去年就有一些媒體向我約稿，要我寫一些關(guān)于手機(jī)病毒方面得文章，但是我至今沒見過真正的手機(jī)病毒，怕誤人子弟，所以一直不敢下筆。這段時間，經(jīng)?？吹矫襟w有報(bào)道手機(jī)病毒，甚至收到很多朋友給我的提醒郵件：“當(dāng)來電顯示有‘ACE‘這一字段時（對于大多數(shù)有來電顯示的數(shù)字手機(jī)），不要接聽，立即掛斷，如果接通，你的手機(jī)會感染一種病毒。該病毒會抹去你的手機(jī)和SIM卡里的所有IMS和IMIE信息，從而導(dǎo)致你的手機(jī)無法和電話網(wǎng)接通。你不得不另買臺手機(jī)“，覺得有必要澄清一些錯誤的說法。上面所說的ACE病毒其實(shí)只是一個假病毒消息（可以見http://vil.mcafee.com/dispVirus.asp?virus_k=99320 、http://www.snopes.com/computer/virus/mobile.htm和http://www.f-secure.com/hoaxes/cf_virus.shtml），但是不少國內(nèi)媒體都把它作為真的手機(jī)病毒報(bào)道（包括國內(nèi)的幾大防病毒產(chǎn)商），并到處引用和渲染。 二、病毒特點(diǎn) 我在手機(jī)“病毒“上加了引號，是因?yàn)槲业侥壳盀橹箾]有見過真正的手機(jī)病毒，我們知道，病毒應(yīng)該具有以下特點(diǎn)： 傳染性 病毒通過自身復(fù)制來感染正常文件，達(dá)到破壞目標(biāo)正常運(yùn)行的目的，但是它的感染是有條件的，也就是病毒程序必須被執(zhí)行之后它才具有傳染性，才能感染其他文件。 破壞性 任何病毒侵入目標(biāo)后，都會或大或小地對系統(tǒng)的正常使用造成一定的影響，輕者降低系統(tǒng)的性能，占用系統(tǒng)資源，重者破壞數(shù)據(jù)導(dǎo)致系統(tǒng)崩潰，甚至損壞硬件隱藏性。 潛伏性 一般病毒在感染文件后并不是立即發(fā)作，而是隱藏在系統(tǒng)中，在滿足條件時才激活。 可觸發(fā)性 病毒如果沒有被激活，它就像其他沒執(zhí)行的程序一樣，安靜地呆在系統(tǒng)中，沒傳染性也不具有殺傷力，但是一旦遇到某個特定的條件，它就會被觸發(fā)，具有傳染性和破壞力，對系統(tǒng)產(chǎn)生破壞作用。 寄生性 病毒嵌入到載體中，依靠載體而生存，當(dāng)載體被執(zhí)行時，病毒程序也就被激活，然后進(jìn)行復(fù)制和傳播。 目前雖然出現(xiàn)了不少針對手機(jī)的攻擊，主要可以分為以下幾類： 攻擊者占領(lǐng)短信網(wǎng)關(guān)或者利用網(wǎng)關(guān)漏洞向手機(jī)發(fā)送大量短信，向手機(jī)發(fā)送大量短信，進(jìn)行短信拒絕服務(wù)攻擊。典型的就是利用各大門戶網(wǎng)站的手機(jī)服務(wù)漏洞，寫個程序，不停的用某個手機(jī)號碼訂閱某項(xiàng)服務(wù)或者退定某個服務(wù)，而去年出現(xiàn)的SMS.Flood就是這樣一個程序； 攻擊者利用手機(jī)程序的漏洞，發(fā)送精心構(gòu)造的短信（SMS）或者彩信（MMS），造成手機(jī)內(nèi)部程序出錯，從而導(dǎo)致手機(jī)不能正常工作，就像我們經(jīng)常在計(jì)算機(jī)上看到的“程序出錯”情況一樣。典型的例子就是前年出現(xiàn)的針對西門子手機(jī)的Mobile.SMSDOS程序。 第二頁 從以上分析我們可以看出，前段時間針對手機(jī)的攻擊程序都沒有寄生性和傳染性的特點(diǎn)，因此我們還不能把它們稱之為“病毒”，只能把他們稱為手機(jī)漏洞的攻擊程序。以下我們詳細(xì)分析這些程序，以及他們利用的手機(jī)漏洞。 三、手機(jī)漏洞分析 根據(jù)漏洞發(fā)現(xiàn)時間上的先后順序，我把已經(jīng)公布的手機(jī)漏洞進(jìn)行了整理，到目前為止，主要有以下一些手機(jī)漏洞： 1、Nokia 某些產(chǎn)品PDU格式漏洞：荷蘭安全公司ITSX的研究人員發(fā)現(xiàn)，諾基亞的一些流行型號的手機(jī)的操作系統(tǒng)由于沒有對短信的PDU格式做例外處理，存在一個Bug，黑客可以利用這個安全漏洞向手機(jī)發(fā)送一條160個字符以下長度的畸形電子文本短信息來使操作系統(tǒng)崩潰。該漏洞主要影響諾基亞3310、3330和6210型手機(jī)。 2、Siemens 35系列特殊字符漏洞：由于手機(jī)使用范圍逐漸擴(kuò)大，中國安全人士對手機(jī)、無線網(wǎng)絡(luò)的安全也產(chǎn)生了興趣，2001年底，中國安全組織Xfocus的研究人員也發(fā)現(xiàn)西門子 35系列手機(jī)在處理一些特殊字符時也存在漏洞，將直接導(dǎo)致手機(jī)關(guān)機(jī)。 3、Panasonic的GD87彩信手機(jī)存在漏洞：2002年12月，T-Mobile International AG 公司確認(rèn)了在新款松下彩信手機(jī)軟件中出現(xiàn)了漏洞，這個漏洞可以讓手機(jī)不經(jīng)過使用者的同意而訪問付費(fèi)服務(wù)，其中的原因是GD87支持WAP PUSH中的service loading方式。 “WAP PUSH”分為service loading與service indication兩種，其中service loading工作如下圖所示： a) Push發(fā)起者向wap網(wǎng)關(guān)發(fā)送文本方式的SL（service loading） b) PUSH網(wǎng)關(guān)收到該信息后轉(zhuǎn)化為二進(jìn)制方式，然后向用戶終端推送這個SL（service loading）； c) 如果用戶終端接受到此信息，這時用戶是不會知道這個信息的； d) 如果手機(jī)端沒有附加的判斷，那么手機(jī)會自動啟動wap瀏覽器通過PUSH網(wǎng)關(guān)發(fā)送請求； e) 服務(wù)器返回結(jié)果，這時終端就已經(jīng)登陸到相應(yīng)的網(wǎng)址了。如果此網(wǎng)站需要付費(fèi)，則手機(jī)用戶就會在不知不覺中付大量的費(fèi)用。 4、Orange 的SPV 存在允許運(yùn)行非認(rèn)證軟件漏洞 英國電信商Orange的SPV是市面上第一款采用微軟Smartphone 2002操作系統(tǒng)的手機(jī)，基于安全考慮，Orange只允許經(jīng)過該公司認(rèn)證的軟件才能 在SPV手機(jī)上執(zhí)行。但2003年初已有黑客破解SPV上的安全機(jī)制，并公開此一破解方法，這樣，程序無須通過Orange認(rèn)證，就可直接流入網(wǎng)絡(luò)， 用在SPV手機(jī)上，從而對用戶的手機(jī)產(chǎn)生破壞。 5、Nokia的Vcard存在漏洞 VCard格式是一種全球性的MIME標(biāo)準(zhǔn)，最早由Lotus和Netscape提出。該格式實(shí)現(xiàn)了通過電子郵件或者手機(jī)來交換名片。Nokia的6610、6210、6310、8310等系列手機(jī)都支持Vcard，但是其6210手機(jī)被證實(shí)在處理Vcard上存在格式化字符串漏洞。攻擊者如果發(fā)送包含格式字符串的vCard惡意信息給手機(jī)設(shè)備，可導(dǎo)致SMS服務(wù)崩潰，使手機(jī)被鎖或重啟動。 6、Siemens的"%String"漏洞 2003年3月，西門子*35和*45系列手機(jī)在處理短信時，在處理短信時遇到問題。當(dāng)接受到"%String"形式的短信時，如”%English”西門子手機(jī)系統(tǒng)以為是要更操作改系統(tǒng)語言為英文，從而導(dǎo)致在查看該類短信時死機(jī),利用這一點(diǎn)很容易使西門子這類手機(jī)遭受拒絕服務(wù)攻擊。 四、手機(jī)病毒趨勢 雖然已經(jīng)在不少手機(jī)上發(fā)現(xiàn)了安全問題，但是到目前為止，還沒有看到真正意義上的手機(jī)病毒，這并不是因?yàn)闆]有人愿意寫，而是存在著不少困難： 1. 手機(jī)操作系統(tǒng)是專有操作系統(tǒng)，不對普通用戶開放，不像電腦操作系統(tǒng)，容易學(xué)習(xí)、調(diào)試和程序編寫，而且它所使用的芯片等硬件也都是專用的，平時很難接觸到； 第三頁 2. 手機(jī)系統(tǒng)中可以“寫”的地方太少，在以前的手機(jī)中，用戶是不可以往手機(jī)里面寫數(shù)據(jù)的，唯一可以保存數(shù)據(jù)的只有SIM卡，下圖是SIM卡的說明，其中只有Telecom Dirextory是可以由我們保存數(shù)據(jù)的，而這么一點(diǎn)容量要想保存一個可以執(zhí)行的程序非常困難，況且保存的數(shù)據(jù)還要繞過SIM卡的格式。 3. 以前手機(jī)接收的數(shù)據(jù)基本上都是文本格式數(shù)據(jù)，我們知道文本格式也是計(jì)算機(jī)系統(tǒng)中最難附帶病毒的文件格式，同樣在手機(jī)系統(tǒng)中，病毒也很難附加在文本內(nèi)容上。 但是隨著手機(jī)行業(yè)的快速發(fā)展和基于手機(jī)的應(yīng)用不斷增多，這種局面已經(jīng)開始發(fā)生變化，特別是 1. K－JAVA大量運(yùn)用于手機(jī)，使得編寫用于手機(jī)的程序越來越容易，一個普通的Java程序員甚至都可以編寫出能傳播的病毒程序； 2. 基于Symbian、Pocket PC和SmartPhone的操作系統(tǒng)的手機(jī)不斷擴(kuò)大，同時手機(jī)使用的芯片（如Intel 的Strong ARM）等硬件也不斷固定下來，使手機(jī)有了比較標(biāo)準(zhǔn)的操作系統(tǒng)，而且這些手機(jī)操作系統(tǒng)廠商甚至芯片都是對用戶開放API并且鼓勵在他們之上做開發(fā)的，這樣在方便用戶的同時，也方便了病毒編寫者，他們只需查閱芯片廠商或者手機(jī)操作系統(tǒng)廠商提供的手冊就可以編寫出基于手機(jī)的病毒，甚至這樣的可以破壞硬件。 3. 手機(jī)的容量不斷擴(kuò)大既增加了手機(jī)的功能，同時也使得病毒有了藏身之地。現(xiàn)在的很多手機(jī)都有比較大的容量，甚至能外接CF卡，這樣病毒就不再也不用發(fā)出“天下雖大，卻沒有我容身之地”的感嘆了； 4. 手機(jī)直接傳輸?shù)膬?nèi)容也復(fù)雜了很多，有以前只有文本的SMS發(fā)展到現(xiàn)在支持2進(jìn)制格式文件的EMS和MMS，因此病毒就可以附加在這些文件中進(jìn)行傳播。 從以上分析可以看出，現(xiàn)在的手機(jī)發(fā)展為手機(jī)病毒的產(chǎn)生、保存、傳播都創(chuàng)造了條件，因此手機(jī)病毒的出現(xiàn)和發(fā)展也僅僅只是時間問題而已。 五、防范手機(jī)病毒 如果我們可以放棄豐富的娛樂、便捷的工作、美好的生活，那手機(jī)病毒或許就可以遠(yuǎn)離我們，但我們都有愿望和權(quán)力選擇更美好、更豐富的生活，所以我們要做打一場防范手機(jī)病毒戰(zhàn)爭的準(zhǔn)備也就在所難免了。從手機(jī)病毒的特點(diǎn)來分析，我們可以采取以下措施： 1、堅(jiān)守手機(jī)堡壘：手機(jī)是手機(jī)病毒寄生和發(fā)作的溫床，因此要防范手機(jī)病毒，就要在手機(jī)上做好安全，手機(jī)廠商要防止出現(xiàn)手機(jī)的安全漏洞，用戶要注意不能隨便下載不確定來源的文件（包括手機(jī)鈴聲和圖片），殺毒軟件廠商也要開發(fā)出手機(jī)殺毒軟件（目前Trend micro、Mcafee、f-secure等公司已經(jīng)有了PDA版本的殺毒軟件）； 2、堵死手機(jī)病毒傳播通道：手機(jī)病毒的通道主要是移動運(yùn)營商提供的網(wǎng)關(guān)，因此在網(wǎng)關(guān)上進(jìn)行殺毒是防止手機(jī)病毒擴(kuò)散的最好辦法，國內(nèi)的安全組織Xfocus在這方面做了比較深入的研究，分析了SMS、EMS和MMS的協(xié)議分析，并在這基礎(chǔ)上對其中包含的內(nèi)容進(jìn)行掃描，確保傳送的內(nèi)容是安全可靠的。 隨著手機(jī)的不斷發(fā)展和基于手機(jī)業(yè)務(wù)的不斷擴(kuò)大，手機(jī)病毒的危險也是越來越大，但是只要我們提高安全意識,注意安全,手機(jī)病毒也是可以防范的。 |
