第10章 移动终端恶意代码的分析与防护

计算机病毒分析与防治·第10章移动终端恶意代码的分析与防护为什么你的手机会自动装软件、偷偷扣话费？手机病毒是怎么通过蓝牙、短信、U盘传播的？移动支付到底安全吗？第10章·移动终端恶意代码的分析与防护·01学习目标1.了解移动终端恶意代码的定义和特点2.掌握移动终端恶意代码的传播方式和攻击方式3.了解八种典型移动病毒（EPOC/Cabir/Skulls等）4.掌握移动终端恶意代码的五种防范方法5.了解手机漏洞现状和移动支付安全的七大防护措施第10章·移动终端恶意代码的分析与防护·02本章内容10.1移动终端系统与恶意代码概述·三大操作系统·六大安全缺陷10.2恶意代码的关键技术传播方式·攻击方式·漏洞与应对10.3分类与防范八种典型病毒·五种防范方法10.5手机漏洞与移动支付安全漏洞现状·支付漏洞·七大防护措施第10章·移动终端恶意代码的分析与防护·03引导案例为什么你的手机会自动装软件、偷偷扣话费？2015年下半年，"百脑虫"病毒爆发。用户手机出现自动安装应用、自动订阅扣费业务——还原出厂设置都没用！它藏在热门应用里，通过第三方市场和黄色网站传播，还会提权、阻止其他安全软件获取root权限。为什么手机病毒比PC病毒更难清除？它是怎么钻进你手机的？第10章·移动终端恶意代码的分析与防护·0410.1节手机为什么比电脑更容易中毒？安卓、iOS、WindowsCE——三大手机系统各有什么优缺点？手机操作系统到底缺了哪些安全机制？第10章·移动终端恶意代码的分析与防护·05什么是移动终端恶意代码？移动终端恶意代码是对移动终端各种病毒的广义称呼，包括以移动终端为感染对象的普通病毒、木马病毒等。它以移动终端为攻击对象，通过无线或有线通信方式，造成移动终端异常。为什么手机安全威胁正在超越PC？·2021年全球智能手机出货量13.7亿部，预计2025年超15亿部·安全专家预测：智能手机面临的安全威胁将很快超越PC，成为个人信息安全的第一大隐患·病毒与反病毒的主战场已从App应用层扩展到系统层——系统层病毒更容易隐藏、更难查杀、危害性更大·PC端的免杀、加密、隐藏、反虚拟机、感染等自我保护技术，正在被移植到手机上第10章·移动终端恶意代码的分析与防护·06三大手机操作系统对比——谁更安全？对比项安卓AndroidiOSWindowsCE安全性较差，容易中毒高，不容易中毒中等开放性开源，自由度高，可定制封闭，不适合个性化半开放，易移植稳定性可能卡死、闪退高，软硬件协同好轻量级，启动快适合人群追求个性化的用户注重品牌体验的金融/医疗嵌入式设备/定制需求第10章·移动终端恶意代码的分析与防护·07手机操作系统缺了哪些安全机制？——六大缺陷设计人员从一开始就没太多时间考虑安全问题；也没经过像PC那样严格的测试；甚至ISO15408国际信息安全评估准则都没涉及移动终端操作系统安全。①不支持自主访问控制——区分不了用户的私密数据②不具备审计能力——没有操作日志③缺少身份认证重用控制④不对数据完整性保护⑤密码保护形同虚设——调试模式或简单工具就能拿到密码⑥密码锁定时仍能装新应用第10章·移动终端恶意代码的分析与防护·0810.2节手机病毒是怎么传播和攻击的？蓝牙、短信、USB——手机病毒有哪些传播通道？手机系统为什么有这么多漏洞？怎么应对？第10章·移动终端恶意代码的分析与防护·09手机病毒的三条传播路径①移动终端→移动终端（蓝牙/红外直连）中间桥梁是蓝牙、红外等无线连接。最著名的就是Cabir系列病毒——感染的蓝牙手机通过无线方式搜索并感染其他蓝牙手机。②移动终端→网关→移动终端（短信平台中转）病毒先感染WAP服务器或短信平台网关，再通过网关传播给其他手机。典型：VBS.Timofonica病毒——感染短信平台后向用户手机发垃圾短信或广告。③计算机→移动终端（USB/数据线连接）病毒先寄宿在普通计算机中，当手机连接感染病毒的电脑时，病毒顺势感染手机。——就像我们之前学的U盘病毒传播原理。第10章·移动终端恶意代码的分析与防护·10手机病毒的五种攻击方式①短信攻击——主要以"病毒短信"的方式发起攻击②直接攻击手机——直接攻击相邻手机，如Cabir系列病毒通过蓝牙搜索附近手机③攻击网关——控制网关并通过网关向用户手机发垃圾短信，甚至导致网络运行瘫痪④攻击漏洞——攻击字符格式漏洞、操作系统漏洞、应用程序运行环境漏洞、应用程序漏洞⑤木马型入侵——利用用户疏忽，以合法身份侵入手机，伺机窃取资料，如Skulls系列病毒第10章·移动终端恶意代码的分析与防护·11手机漏洞为什么这么多？怎么应对？2021年：iOS系统161个漏洞，安卓系统523个漏洞（提权漏洞危害最严重）系统功能越多、代码量越大，漏洞就越多——这是必然趋势。为什么漏洞这么多？①移动终端多样化——硬件芯片各不相同，驱动层面漏洞因硬件而异，厂商很难统一修补②厂商监管困难——小厂商依赖官方补丁但补丁不全面；Google管得了大厂管不了小厂；碎片化严重怎么应对？三管齐下①建立漏洞检测和监管体系——从国家层面管理漏洞修补，加快漏洞库建设，定期发布漏洞研究报告②建立应急响应机制——重大漏洞第一时间发安全公告，协调检测机构发工具，推动多方共同修补③建立合作共赢机制——政府带动安全厂商、终端厂商、操作系统厂商、芯片厂商多方合作，技术分享第10章·移动终端恶意代码的分析与防护·1210.3节历史上有哪些著名的手机病毒？EPOC、Cabir、Skulls、Lasco——这些手机病毒都干了什么？我们普通用户怎么保护自己的手机？第10章·移动终端恶意代码的分析与防护·13八种典型手机病毒（上）——恶作剧与信息窃取EPOC病毒（六种）ALARM：持续发警告声BANDINFO.A：改用户信息为"Somefoolownthis"FAKE.A：显示格式化硬盘画面（假的）GHOST.A：显示"Everyonehatesyou"LIGHTS.A：背景灯持续闪烁ALONE.A：恶性！键盘操作失效，输入"leavemealone"可解除VBS.Timofonica病毒·2000年6月初次登场·第一种攻击手机的病毒·通过SMS运营商路由向任意用户手机发大量垃圾短信/广告·注意：它寄宿在普通计算机系统中，不是真正的手机病毒Unavailable病毒（越南）·有人打电话来，屏幕显示"Unavailable"或奇异符号·千万别接！接了就中毒，机内所有资讯及设定全被破坏·可能要换一部新手机通讯录盗窃犯·盗取手机通讯录联系人信息·短时间内盗取全部联系人·通过蓝牙泄露出去第10章·移动终端恶意代码的分析与防护·14八种典型手机病毒（下）——扣费与系统破坏吞钱贪婪鬼（彩信病毒）·名副其实的吞钱机器·每隔几秒钟偷偷向通讯录联系人发彩信·彩信费+发送频率=直接资费损失Skulls系列（.sis木马）·恶意.sis文件木马·用无法使用的版本替换系统应用程序·除了呼叫功能，所有功能都不能用Cabir系列（蓝牙蠕虫）·通过蓝牙传播的蠕虫病毒·运行于Symbian60系列手机·传播文件：Caribe.sis·发现目标后锁定该手机，即使目标离开范围也不寻找新目标·只能发现蓝牙可发现模式的手机Lasco系列（蓝牙蠕虫+感染）·通过蓝牙传播的蠕虫病毒·传播文件：Velasco.sis·第一个目标离开范围后能发现新目标·还能感染手机中的.sis文件——比Cabir更危险第10章·移动终端恶意代码的分析与防护·15普通用户怎么保护手机？——五招①注意来电信息——来电应该显示号码；如果显示别的字样或奇异符号，不要接！②谨慎网络下载——病毒常捆绑在下载程序里；下载铃声图片要到正规网站，出问题能找到源头③不接收怪异短信——短信也是手机感染病毒的重要途径；收到怪异短信立即删除④关闭无线连接——蓝牙、红外方便但也危险；遇到不了解的信息来源，及时关闭蓝牙/红外；中毒了及时咨询厂商打补丁⑤关注安全信息——关注主流安全厂商资讯，及时了解病毒发作情况，防患于未然第10章·移动终端恶意代码的分析与防护·16手机杀毒软件——国外六大vs国内六大类别产品特点备注国外BitDefender实时保护+病毒查杀+自动更新查杀模块在手机，更新在PCF-Secure芬兰，覆盖主要智能手机平台诺基亚S603rd预装McAfeeMobile200ms检测恶意软件，≤500KB嵌入式，资源占用极低趋势科技免费安全方案+SMS垃圾短信过滤实时可在线更新Kaspersky2.0阻止可疑程序运行，WAP/HTTP升级兼容Symbian多版本Symantec防毒+防火墙，集中化管理企业版，管理员策略管控国内光华反病毒查杀500余种，仅68KB超轻量，含Cabir/Lasco/Skulls网秦支持Symbian/WindowsMobile/Linux/Palm多平台支持江民移动版兼容性好，资源占用少支持Symbian/SmartPhone/PPC金山毒霸手机版2005年国内率先推出，含宏病毒清除支持WindowsMobile/Symbian瑞星病毒查杀+垃圾短信过滤2002年成立手持设备安全实验室360手机卫士BitDefender引擎+云查杀引擎双引擎永久免费，骚扰拦截/隐私保护第10章·移动终端恶意代码的分析与防护·1710.5节手机支付到底安全吗？为什么每部手机都有十几个漏洞？点一下网址就会被扣钱？移动支付有哪些防护手段？第10章·移动终端恶意代码的分析与防护·18你的手机有多少个漏洞？——平均19~20个360安全中心检测18款典型安卓手机：安卓2.x平均20个漏洞，安卓4.x平均19个漏洞。因手机厂商定制产生的漏洞，约占已知漏洞总数的70%。几乎每部手机都有的四大漏洞①签名漏洞——篡改支付软件不破坏数字签名，对移动支付威胁最严重②短信欺诈漏洞——木马发欺诈短信，诱使用户装木马/登录钓鱼网站，窃取账号密码③后台消息漏洞——木马在用户不知情下发扣费短信④后台电话漏洞——木马在用户不知情下打扣费电话第10章·移动终端恶意代码的分析与防护·19两大移动支付致命漏洞漏洞一：签名漏洞（Bluebox，2013年7月）——危及99%安卓手机·黑客可以在不破坏正常应用程序数字签名的情况下，篡改该应用程序·进而控制手机，实现偷账号、窃隐私、打电话或发短信等任意行为·2022年，360共截获利用该漏洞的木马病毒超过2000种——大量是被篡改后的第三方支付软件或网银客户端·被业界公认为史上比较严重的安卓系统签名漏洞漏洞二：WebView挂马漏洞（2013年9月）——点一下网址就中招·黑客通过受漏洞影响的应用程序或短信、聊天消息发送一个网址·安卓手机用户一旦点击该网址，手机就会自动执行黑客指令·后果：被安装恶意扣费软件、向好友发送欺诈短信、通讯录和短信被窃取·也是攻击网银客户端软件的工具第10章·移动终端恶意代码的分析与防护·20移动支付安全模块的七大防护功能360与建行、农行、工行、中行、民生银行合作，为手机网银客户端提供独立的移动支付安全模块①盗版网银识别——检测网银客户端是否被第三方注入或篡改②木马病毒查杀——支付前快速扫描，引导处理木马③网络环境监控——检测Wi-Fi无密码、DNS被篡改、Wi-Fi钓鱼④支付环境监控——支付环节检测运行中的应用是否有不安全因素⑤网址安全扫描——对应用内每个链接进行安全扫描，防链接被篡改⑥二维码扫描——扫描成功后立即对内容进行云端安全检测⑦短信加密认证——银行短信加密传输，恶意程序无法直接获取，从根本解决短信劫持第10章·移动终端恶意代码的分析与防护·21本章小结手机安全的本质：开放与安全的博弈·定义：移动终端恶意代码是对手机病毒、木马的