恶意程序加钓鱼，使移动平台危机骤增
- DIGIIMES企划
-
在2013年上半期间，诸多网安厂商纷纷发布了网安威胁报告，藉由这些报告，我们明显发现一个趋向，那便是移动平台的恶意程序数量急遽增加，逐渐成为网络犯罪分子所觊觎的温床。
早在两年前，如果有人说，未来依附在移动设备之中的恶意程序数量，总有一天会超越个人电脑的恶意程序，你肯定会质疑此人危言耸听。
但随着各大网安业者陆续提出最新的网安威胁报告出炉，让我们不得不惊骇莫名，无论是移动恶意程序的增长或变种速度，都比人们预期来得更快，尤其是市占率最高、系统架构也最为开放的Android，滋生恶意程序的势头，简直可用猛烈两个字来形容。
根据赛门铁克提出的报告，相较于2011年，2012年移动设备的恶意程序数量足足增长58%，其中又以Android最值得堪虑，主因在于，2011期间，一个Android恶意程序「家族」，平均可繁衍出5种经过变种的恶意程序，然而才不过时隔一年，共计发现160多个Android恶意程序家族，竟联手产生多达4,400个变种程序，比例从1:5爆至1:38。
移动设备将成黑客最大本营
按照这个速度，恐怕在不久之后，人们即可见到锁定于移动设备的恶意程序数量，一举超越个人电脑，成为黑客聚集、高手荟萃的最大本营。
看到这里，多数人一定以为，Android作业平台之上的系统漏洞，肯定远远超乎其他操作系统，但令人咋舌的是，根本不是这麽一回事。同样是依据赛门铁克的研究，综观2012年期间所发现到的400多个移动系统漏洞，光是iOS就占据了逾9成3比重，相形之下，Android被发现到的漏洞数量，根本微不足道，意谓着弱点少的OS遭骇机率反倒更为巨大，无疑颠覆了IT业界人士的一惯认知，这也说明了，移动恶意程序与操作系统漏洞无甚关联，难免徒增了移动设备防毒防骇的复杂性。
一向专注研发网络安全及广域网络优化解决方案的Blue Coat，也在几个月前发布2013年移动恶意软件报告，在报告中即强调，多数企业面对移动设备存取其网络资源一事，逐渐走向全面开放的态度，连带也等于为网络犯罪分子敞开大门，而现今的犯罪分子，已然拥有对移动设备发动破坏性攻击的能力。
何以移动恶意软件滋生？Blue Coat认为，基于移动设备或移动APP应用程序的特性，使得它们先天上就容易遭受多种特定类型的攻击，最常见的攻击手法不外是诈骗、垃圾邮件及网络钓鱼，而这些攻击活动以往都曾出现在Web环境，并不算是此刻才初来乍到的新型攻击，但其部署难度低、横跨不同装置的能力强，正好切中黑客或网络犯罪者的脾胃，可被用于针对移动设备发动攻击。
更麻烦的是，移动设备的使用者，通常会同时透过传统网页、移动版网页或本端应用程序等不同途径存取相同内容，这个看起来并不出奇的特色，却将大幅增加移动设备防护与管理的复杂性与困难度。综观各类型网页内容，其中以「色情」网站潜藏的危机最大，当移动设备使用者浏览这类型网站，可能承受高于其他存取行为达三倍以上的风险。
另一网安厂商F-Secure，稍早前也针对2012年第四季移动安全威胁提出报告，指称Android系统受骇程度高于其他平台，甚至有愈演愈烈的趋势，有高达近八成的恶意软件，专为Android平台量身订作；对此该公司的安全顾问解释，恶意软件系依附操作系统而生，愈是位居主流的操作系统，愈是让恶意软件犹如是寄生虫一般，容易被养大。
欲求明哲保身 宜启动相关防护措施
如何是好，F-Secure也提供相关建议，首先第一步就是更新操作系统版本，举例来说，综观2012年Android系统的恶意软件型态，有超过6成比例皆为木马程序，但随着Google释出Android 4.2版本之后，已经有效抑制了此类木马程序或间谍程序。
只不过，现今已有不少恶意软件，会将病毒码埋藏在程序更新系统之中，也就是说，伴随黑客攻搫手法日新月异，恐导致更新操作系统版本的效力递减，光是做到这一步，自然无法全面消弭手机受骇的可能性，值此时刻，使用者在移动设备安装专业防护软件，仍具有很大的必要性。
海外一个名为「Top 10 Review」的网站，先前已公布9个最佳的Android防毒软件，依序是BullGuard Mobile Security、Lookout Premium、McAfee Mobile Security、Kaspersky Mobile Security、ESET Mobile Security、Trend Micro Mobile Security、F-Secure Mobile Security、Webroot Secure Anywhere Mobile，以及NetQin Mobile Security，其名次的高低，取决于防毒、实时保护、线上锁定、定位与追踪遗失装置、线上抹除、扫瞄手机应用、反垃圾邮件、反恶意网站、反间谍、设备警示音讯、SIM卡锁定等多项功能评比，提供予手机使用者评估参考。
总而言之，不管使用者选用哪一套手机防毒软件，基本上都可发挥防毒防骇之功效，算是相当基础的保护措施，除此之外，尚须配合本身行为模式的调整，才能一举奏效，比方说，在安装APP应用程序时，务必留意相对应的数据存取权限需求，切莫不明就理直接按下确认；其次，对于Android使用者而言，宜透过Google Play官方平台下载APP，不要轻易嚐试非官方市集，因为藉由这类型市集，会让使用者更容易安装到内含恶意程序的APP。
再者，使用者切记不要点击不明的连结，只因黑客或网络犯罪人士，通常都会利用类似钓鱼连结的手法，诱使使用者上钩后，再取得移动设备上的「钥匙」，可用以剥开该装置的种种一切，要想拿走个中私密数据，简直就像探囊取物般轻而易举；譬如早先即曾透过脸书(Facebook)而疯传的「假拉票真诈骗」－我朋友参加摄影比赛，帮忙一下，这个老梗又在LINE上重施故技，即是典型的网络钓鱼，使用者万万不得轻易上当。
知名的网安业者趋势科技，对于移动网络钓鱼着力颇深，也不时向手机或平板分享相关信息。该公司指出，相较以往PC环境的网络钓鱼，移动网络钓鱼的危害性似乎更大，主因在于，移动设备普遍为小尺寸屏幕，较难透过移动浏览器显示所有内容，方便钓鱼网站掩盖可能被识破的元素；其次，某些装置会自动开启缺省的浏览器，使用者无法自行抉择较为安全的浏览器；再者，移动设备的使用者界面，通常设计重点在于加速及简化使用者体验，所以容易省略若干安全措施，例如不会显示标明网站合法性和连结安全性的图示。
移动钓鱼网页的终极目标，旨在于窃取使用者的个人数据，包括金融帐户、社群网站帐号、网络购物帐号等等，一旦让网络犯罪分子得逞，使用者的银行帐户便可能被提领一空，连累亲朋好友感染恶意程序或惨遭诈骗，抑或莫名其妙成了帮别人买单的冤大头。
如何避免让自己沦为钓鱼网站的禁脔？第一，尽可能利用网络银行或购物网站提供的官方应用程序，不要轻易使用移动浏览器；第二，万一收到可疑寄件者传来的电子邮件，宜避免点入连结或打开附件档；第三，详加检查网页与网址；第四，不妨点入移动浏览器的地址栏，借此确认完整内容，睁大眼睛检查乍看正常的网址是否经过变造；第五，将经常需要造访的网站加入书签，以减少因为拼字错误而进入钓鱼网站的机会；第六，还是老话一句，必须善用移动安全解决方案，除用以识别与封锁网络钓鱼威胁外，还可一并防护恶意软件、高风险网址及高风险应用程序。
