●后門程序“CoolReaper”可能影響的安卓手機型號多達24款，影響用戶超過1千萬

企業(yè)安全領域引領者PaloAltoNetworks®（紐約證券交易所：PANW）近日披露一個后門程序的細節(jié)。該后門程序包含在全球最大的智能手機制造商之一--中國酷派集團(Coolpad)所出售的數(shù)以百萬計的酷派系列移動設備中。該后門程序名為“CoolReaper”，可在潛在的惡意活動中暴露用戶信息?？崤刹活櫽脩舴磳?，似乎已安裝并維護著該后門程序。

通常情況下，移動設備制造商在谷歌安卓移動操作系統(tǒng)上安裝軟件可以為安卓設備提供更多的功能和定制化服務，同時一些移動運營商也會安裝某些應用程序用來搜集設備性能數(shù)據(jù)。PaloAltoNetworks威脅情報團隊Unit42對此進行了詳細分析，CoolReaper作為一個真正的后臺程序植入酷派系列設備中除了搜集基本使用數(shù)據(jù)之外，似乎也進行著其他動作。此外，酷派似乎已對安卓操作系統(tǒng)版本進行了修改，以防止反病毒程序檢測到此后門程序。

PaloAltoNetworks研究員ClaudXiao在出售的24款酷派手機中發(fā)現(xiàn)了CoolReaper，這意味著根據(jù)公開的酷派系列的銷售信息，將有超過1千萬的用戶受到影響。

引用：

●“我們期望使用安卓系統(tǒng)的移動設備制造商在設備上預先安裝的軟件以提供所需功能并保持他們的應用程序及時更新。但是本報告中披露的CoolReaper后門程序細節(jié)則遠遠超出了用戶可能的預期，使得受到影響的酷派系列終端可以完全被遠程控制，隱藏該軟件不被反病毒程序發(fā)現(xiàn)，同時使用戶置于惡意攻擊中。我們非常希望可能受到CoolReaper影響的數(shù)百萬酷派系列終端用戶檢測他們所購買的設備是否存在后門程序，并采取措施保護他們的數(shù)據(jù)安全。”

--PaloAltoNetworksUnit42情報總監(jiān)RyanOlson

CoolReaper的背景信息及其影響

CoolReaper相關(guān)的完整的調(diào)查結(jié)果已刊登在近日出版的《CoolReaper：酷派中的后門程序》的報告中，該報告由PaloAltoNetworks威脅情報團隊Unit42的ClaudXiao和RyanOlson撰寫。在該報告中，PaloAltoNetworks還公布了一份文件列表以核對那些有可能存在CoolReaper后門程序的酷派系列移動設備。

正如研究人員發(fā)現(xiàn)的那樣，CoolReaper可以執(zhí)行下列任務，其中的任何一項都有可能使企業(yè)和用戶的敏感數(shù)據(jù)面臨風險。此外，惡意攻擊者也有可能利用CoolReaper的后端控制系統(tǒng)中的漏洞。

CoolReaper功能：

●未經(jīng)用戶同意或未通知客戶的情況下，進行下載、安裝或激活任一安卓應用程序

●清除用戶數(shù)據(jù)，卸載現(xiàn)有應用程序或使系統(tǒng)應用程序失效

●通知用戶一個虛假的設備更新信息，安裝不需要的應用程序

●隨意給手機發(fā)送或插入短信或彩信

●撥打任意電話號碼

●上傳設備信息、位置、應用程序的使用信息、通話和短信歷史記錄到酷派服務器

酷派(Coolpad)確認情況

Unit42威脅情報團隊開始關(guān)注CoolReaper后門程序，源于網(wǎng)絡留言版上張貼的酷派(CoolPad)客戶投訴信息。11月份，烏云網(wǎng)(wooyun.org)的一位研究人員發(fā)現(xiàn)了用于CoolReaper的后端控制系統(tǒng)中存在漏洞，從而查明了酷派系列設備如何實現(xiàn)在軟件中控制后門程序。此外，中文新聞網(wǎng)站安全牛www.aqniu.com曾在2014年11月20日的一篇文章里對該后門存在的具體細節(jié)進行了報道并列出了其濫用情況。

截止到2014年12月17日，酷派(Coolpad)并未對PaloAltoNetworks多次提出的幫助請求予以回復。PaloAltoNetworks已經(jīng)向谷歌安卓安全小組(GoogleAndroidSecurityTeam)提供了本報告中的數(shù)據(jù)。

保護用戶

CoolReaper已被PaloAltoNetworks威脅情報云的重要組件WildFire™標記為惡意程序。PaloAlto威脅情報云可在虛擬環(huán)境中運行，能夠從應用中甄別威脅并自動將其傳送至PaloAltoNetworksGlobalProtect以確認受此影響的設備。

此外，在PaloAltoNetworks威脅防護產(chǎn)品中，所有已知的被CoolReaper使用過的命令和控制(C&C)URL都被認定為惡意，允許用戶即使在命令和控制服務器或URL變更的情況下，防止數(shù)據(jù)滲漏。

同時，PaloAltoNetworks還提供了命令和控制(C&C)的簽名，可對惡意的CoolReaper命令和控制流量進行探測和攔截，即使命令和控制(C&C)服務器改變位置該功能仍然有效。

CoolReaper后門程序的發(fā)現(xiàn)，進一步強化了對全面移動安全方案的需求，它將流量檢測與威脅情報相結(jié)合，用于檢測并防范危險應用程序。PaloAltoNetworks的GlobalProtect技術(shù)能夠保護組織機構(gòu)遠離高級網(wǎng)絡威脅，能夠持續(xù)分析移動（數(shù)據(jù)）內(nèi)容發(fā)現(xiàn)其中隱藏的或惡意的活動。

更多資訊請關(guān)注電力電子頻道