阿里聚安全 2016 年报:移动安全风险与日俱增

  • 时间:
  • 浏览:3

2016年在各种互联网业务活动中,羊毛党、黄牛党继续盛行,各种越来越安全防控的红包/优惠券促销活动,会被羊毛党以机器/小号等各种手段抢到手,基本70%~60 %的促销优惠会被羊毛党薅走,原因分析分析商家和平台的促销优惠最终进入了羊毛党的口袋。黄牛党也能利用机器下单、人肉抢单,将大优惠让利产品瞬间抢到手,因此 高价格售出赚取差价。大规模的批量机器下单,一定会对网站的流量带来压力,产生相似DDOS攻击,甚至也能造成网站瘫痪。此外使用简单维度的密码验证手法因此 演变成使用复杂机器人猜测密码的技术,来逃避简单的策略防御。企业也能 更多维度、指标,使用更复杂的规则、模型进行防御。

创造纵深的有适应力的数字化业务系统

18个行业的Top10应用中98%的应用都位于漏洞,但Webview远程执行代码漏洞飞快下降

本文来自云栖社区合作者者伙伴嘶吼,了解相关信息都后能 关注嘶吼网站。

每天新增近9000个新移动病毒样本,每10秒生成有另三个

2016年度,Android平台约10台设备中有的是1台染毒,设备感染率达10%,阿里聚安全病毒扫描引擎共查杀病毒1.2亿,病毒木马的查杀帮助用户抵御了小量的潜在风险。

目前移动应用通过资源换量、搜索平台、广告网络及代理商、直接推广及自然安装等渠道来推广和互动。但推广者发现投入的费用反映的 推广数据良好,因此 沉淀到果真用户却表现非常不乐观。小量的渠道欺诈使得移动应用推广者损失巨大,根据某平台分析,2016年移动欺 诈金额因此 超数亿美金。

本文讲的是阿里聚安全 2016 年报:移动安全风险与日俱增本报告重点聚焦在2016年阿里聚安全所关注的移动安全及数据风控上呈现出来的安全风险,在移动安全方面重点分析了病毒、仿冒、漏洞三部分,帮助用户了解业务安全端安全方面应该注意的风险,过一定会描述阿里聚安全在业务安全防控方面做的有些努力和观点,帮助企业在建设互联网业务安全时,考虑安全策略和防护应该往哪部分倾斜。

对比客户端病毒样本和样本库类型,随便说说“恶意扣费”的样本数非常庞大,但在客户端感染的数量因此 成反比,这是因此 国家着重针对影响范围大、安全风险较高的移动互联网恶意多多tcp连接 进行专项治理,“恶意扣费”类恶意多多tcp连接 治理效果显著,而“流氓行为”、“隐私窃取”、“短信劫持”及“诱骗欺诈”类病毒还是以较少的样本数占领了大多数客户端,尤其是黑产用于诈骗的“短信劫持”和“诱骗欺诈” 病毒基本是以1:10的比率影响用户端。此外干扰用户正常使用软件,影响用户体验,随意换成广告书签、广告快捷最好的措施或锁屏等行为的“流氓行为”类病毒也位于小量用户客户端,此类病毒一般用于恶意广告推广为主。

金融行业选择银行、钱包和理财三个子分类,分别选择10个热门应用进行分析,共发现仿冒应用407个。银行类仿冒应用占53%,钱包类 仿冒应用占36%,理财类仿冒应用占11%。

2016年,亲戚亲戚有些人发现“恶意扣费”类在病毒样本量占比最高,达72%。该类病毒应用未经用户允许私自发送短信和扣费指令,对用户手机的资费造成一定风险,而在客户端检测到样本的“流氓行为”占比最高,“恶意扣费”其次。

另外黑产通过刷库撞库也体现出业务时序的不同而不同。以2016年Q4为例,在双十一前一天,黑产主要精力用于各平台的活动作弊,而过了双十一,刷库撞库风险就开始英语 英文持续走高,稳定位于了所有风险的一半以上。

为分析移动应用各行业的漏洞清况 ,亲戚亲戚有些人在第三方应用市场分别下载了18个行业的Top10应用共计160 个,使用阿里聚安全漏洞扫描引擎对这批样本进行漏洞扫描。18个行业的Top10应用中,98%的应用有的是漏洞,总漏洞量14798个,平均每个应用有8有另三个 漏洞。旅游、游戏、影音、社交类产品漏洞数量靠前。因此 高危漏洞占比最高的依次是办公类、工具类、游戏类和金融类。企业在移动数据化多多tcp连接 过程中更需注意员工在使用哪好多个行业APP时的安全威胁。

本文作者:阿里聚安全

阿里聚安全的人机识别系统,接口调用是亿级别,而误识别的数量只有个位数。除了误识别,亲戚亲戚有些人的技术难点还在于怎么后能 找出漏报。一般清况 下,会对整体用户流量的“大盘”进行监控,一旦监测到注册或登录流量异常,亲戚亲戚有些人的安全攻防技术专家就会紧急响应。本身生活响应速率单位单位是小时级别的。

在本次分析中,某银行共发现60 个仿冒应用,完整版具有短信劫持行为,感染设备量为33863台,感染用户主要分布在广东、北京和江苏等省份。

金融行业银行类仿冒居多,某银行仿冒应用完整版具有短信劫持行为

利用该攻击链都后能 做到iOS上的远程完美越狱,完整版窃取Gmail, Facebook, Skype, WhatsApp, Viber, FaceTime, Calendar, Line, Mail.Ru, Wechat SS, Tango等应用的敏感信息。PEGASUS都后能 说是近几年来影响最大iOS漏洞之一,也是亲戚亲戚有些人认为最复杂和稳定的针 对移动设备APT攻击,都后能 认为是移动设备攻击里程碑。利用移动设备集长连接的Wi-Fi,3G/4G,语音通信,摄像头,Email,即时消 息,GPS,密码,联系人与一身的形状,针对移动设备的APT攻击会不要 。

人机对抗-滑动验证码作为对抗黑产的重要手段

原文发布时间为:2017年3月9日

最复杂老道的iOS APT攻击突然总出

互联网+因此 企业在面对互联网业务发展过程中的安全威胁时,实施数字化业务系统适应力所需的实践,对传统公司具有极大的挑战,在面对各种业务部门参与、合作者者的过程中,也能 区分业务风险优先级,关注纵深防御节点,做出平衡业务的选择,也能使业务安完整版门更敏捷,更具有弹性。阿里聚安全帮助企业评估业务安全资产与风险优先级,使用纵深防御保护关键价值链上重要节点的安全,在实践中为业务提供针对性的保护。

Android平台约10台设备中有的是1台染毒,设备感染率达10%

89%的热门应用位于仿冒

2016年移动欺诈损失超数亿美金

常用移动欺诈通过机刷、模拟器、改机工具等手段作弊,如通过一键生成改机软件修改手机硬件参数IMEI、MAC、蓝牙地址等,伪造新手 机多次安装激活App;通过脚本批量操作各种安卓模拟器如天天模拟器、海马玩模拟器、夜神模拟器等,反复进行机刷-App安装-App激 活等操作。阿里聚安全使用稳定的设备指纹技术 + 大数据分析,能准备识别各种作弊手段和作弊设备。为用户节约推广成本、时间成本、 开发成本,保障推广者获取真实的用户数据为业务服务。

滑动验证码作为对抗人机黑产的重要手段,对筛查出来的“灰黑用户”也能 进一步精细判断。进化的滑动验证码因此 不再基于知识进行人机判断,然后我基于人类固有的生物形状以及操作的环境信息综合决策,来判断是人类还是机器。因此 不用打断用户操作,进而提供更好的用户体验。验证码系统在对抗过程中,感知到风险,也能 企业实时切换混淆和加密算法,极大提高黑产进行破解的成本。

其中漏洞类型主要集成中“拒绝服务”、“Webview明文存储密码”、“密钥硬编码风险”及“AES/DES弱加密风险”中,“密钥硬编码风险”和“AES/DES弱加密风险” 漏洞会让基于密码学的信息安全基础瓦解,因此 常用的密码学算法有的是公开的,加密内容的保密依靠的是密钥的保密,密钥因此 泄露,对于对称密码算法,根据用到的密钥算法和加密后的密文,很容易得到加密前的明文;对于非对称密码算法因此 签名算法,根据密钥和要加密的明文,很容易获得计算出签名值,从而伪造签名。

羊毛党、黄牛党在2016年成为互联网业务发展过程中最大的毒瘤

从16个行业分类分别选择了1三个热门应用,共240个应用进行仿冒分析,发现89%的热门应用位于仿冒,总仿冒量高达12859个,平均每个应用的仿冒量达5有另三个 ,总感染设备量达2374万台。3月份的仿冒应用量大幅下降,符合黑灰产在春节假期前后的活动较少的规律。

2016年金融行业仿冒应用分布清况

阿里聚安全移动病毒样本库2016年新增病毒样本达328452有另三个 ,平均每天新增9000个样本,这相当于每10秒生成有另三个 病毒样本。亲戚亲戚有些人也看过在9月份后病毒样本有比较明显的增加趋势。随便说说原生Android系统的安全性越来越高,但移动病毒利用多种手法如重打包知名应用、伪装成生活类、色情类应用等传播,在每天新增越来越多病毒的恶意环境下,Android用户也能 时刻警惕在官方场合下载应用。

PEGASUS——三叉戟攻击链是在对阿联酋的一位人权活动家进行APT攻击的前一天被发现。整个攻击链由有另三个 漏洞组成:JS远程代码执行(CVE-2016- 4657),内核信息泄露(CVE-2016-4655),内核UAF代码执行(CVE-2016-4656)。

这里建议企业用户在开发App过程中,通过阿里聚安全的漏洞扫描来检测应用算是具有密钥硬编码风险,使用阿里聚安全的安全组件中的安全加密功能保护开发者密钥与加密算法实现,保证密钥的安全性,实现安全的加解密操作及安全签名功能。