逾百萬 Google 帳號遭入侵！　速查自己有無中伏

企業趨勢資訊保安 by Dennis Ma on 1 十二月, 2016

有網絡安全公司指，一個名叫 Gooligan 的惡意軟件已透過 Android 裝置入侵逾百萬個 Google 帳號。該惡意軟件透過其他惡意程式或者釣魚攻擊入侵，盜取帳戶資料，存取多種 Google 服務以及擅自安裝程式牟利。

資訊安全公司 Check Point 透露，一個新款的惡意程式活動 Googligan 針對未修補漏洞的 Android 4 和 5 系統，已入侵逾百萬個 Google 帳號，並每日感染 13,000 部裝置；受感染的裝置有 57% 位於亞洲。

當用戶從第三方的程式商店或者釣魚網站安裝受感染的程式時，Gooligan 便會乘虛而入。之後 Gooligan 便會從幕後策劃者的 C&C 伺服器下載 rookit，讓攻擊者獲得裝置的控制權。接著 Gooligan 便會安裝模組，於 Google Play 或 Google Mobile Services 植入程式碼模彷用戶行為，避開追蹤以盜取 Google 電郵帳戶和認證資訊、從 Google Play 下載程式和打分，以及安裝廣告軟件牟利。

如此一來，攻擊者可透過受害人的認證 token 資訊繞過兩步認證，存取對方的 Google Play、Gmail、Google Docs、Google Drive 和 Google Photos 服務；另一方面，Gooligan 會擅自安裝程式，使攻擊者能從合法的廣告商賺取收入，再自動到 Google Play 為程式給予好評，與 HummingBad 類似。

Google 稱，他們最近已與 Check Point 合作調查 Gooligan，發現惡意程式只為推送程式，沒有存取用戶資料；攻擊者亦沒有針對特定對象，不足 0.1% 的受害人是 G Suite 客戶。

怎樣知道自己的裝置有沒有中招？

如上所提，惡意程式針對的是 Android 4 和 5 系統，即 Jelly Bean、KitKat、Lollipop。如果用戶並非用戶該系統理應不受影響。

發現漏洞的 Check Point 亦提供連結（https://gooligan.checkpoint.com/），供用戶檢查自己的帳戶有否被 Gooligan 入侵。如有，Check Point 建議用戶尋求合資格技術人員協助，為裝置徹底重新安裝（clean install）作業系統，並更改 Google 帳戶的密碼。

Check Point 指，以下的虛假程式含有 Gooligan ，你可以從「設定」—「應用程式」檢查裝置有否安裝過。雖然清單含有「Google」，但所指的是虛假程式，並非正當的 Google 程式。如有發現，應用防毒軟件作深入檢查。