資安業者釋出Android攻擊程式

上周三（7/28）行動安全業者Lookout在黑帽（Black Hat）大會上揭露Android Market桌布程式竊取使用者資料的兩天後（7/30），另一業者Trustwave在另一場DefCon駭客會議上發表了Android攻擊程式，這是一款可用來竊取使用者個人資訊的rootkit程式。

開發Android攻擊程式的是Trustwave中負責Spider實驗室的Nicholas J. Percoco以及他的同事Chris Papathanasiou，宣稱其耗時兩周開發的攻擊程式可讓駭客竊取Android智慧型手機中的個人資訊，雖然當天用來展示的是宏達電所製造的Legend及Desire的兩款Android手機，不過Percoco表示其他的Android手機應該無法倖免於難。

Percoco說明，現在很少有關行動裝置rootkit的討論，但Android是一個絕佳的研究平台，因為它採用了Linux核心，而Linux核心層級的rootkit技術知識歷史悠久，他們所研發的概念性驗證程式只要以一個特定的號碼撥打使用者手機，就能將一個逆向的TCP over 3G/Wi-Fi介殼（shell）傳遞給駭客，並可讓駭客取得Android手機的最高權限。

因此，駭客可以讀取Android裝置中的所有簡訊內容，或是讓Android用戶承擔長途電話費用，或是找到該款手機的正確位置，該rootkit程式可以隨著偽造的應用程式被安裝在Android裝置中。

除了展示攻擊手法外，Percoco當天還在會議現場發送存有該rootkit程式的DVD光碟，路透社估計當天約有1萬名資安專家參與該會議。

Percoco說，他希望此一作法可以喚醒業者對行動安全的認知，並強迫業者修補安全漏洞。Android現為全美第四大智慧型手機平台，全球每天平均售出6萬支Android手機。（編譯/陳曉莉）