2014是全球首個(gè)移動(dòng)電話惡意軟件Cabir誕生十周年。Fortinet的FortiGuard Labs為此追溯了過(guò)去10年來(lái)的記錄，探究各個(gè)時(shí)期移動(dòng)威脅的發(fā)展與其象征性的意義。

從Cabir和FakeDefend，過(guò)去10年來(lái)移動(dòng)惡意軟件數(shù)量爆增。 2013年，F(xiàn)ortinet威脅研究與響應(yīng)實(shí)驗(yàn)室FortiGuard Labs，平均每天發(fā)現(xiàn)超過(guò)1,300個(gè)新的惡意軟件，現(xiàn)今總計(jì)追蹤超過(guò)300個(gè)Android惡意軟件家族，以及超過(guò)40萬(wàn)個(gè)惡意的Android程序。

除了數(shù)量上的絕對(duì)增長(zhǎng)外，另一個(gè)值得關(guān)注的趨勢(shì)是，移動(dòng)惡意軟件已經(jīng)走向PC惡意軟件相同的演化方式，而且速度更快。隨著智能手機(jī)的快速普及，以及通過(guò)手機(jī)聯(lián)網(wǎng)支付的方式，使得手機(jī)一旦遭到惡意軟件的感染，會(huì)付出金錢的代價(jià)。此外，智能手機(jī)有許多功能，例如定位、話筒、嵌入式GPS和相機(jī)，這些都可以監(jiān)控設(shè)備持有者，也讓惡意軟件的入侵上升了一個(gè)層次。如同PC惡意軟件一樣，移動(dòng)惡意軟件也很快進(jìn)化為以獲取金錢為導(dǎo)向并支持各種不法的商業(yè)犯罪模式。

FortiGuard Labs回顧過(guò)去10年最具代表性的移動(dòng)惡意軟件，同時(shí)也探討了它們?cè)谕{演化中所扮演的角色：

2004：初嘗試

Cabir是全世界第一個(gè)移動(dòng)蠕蟲，專設(shè)計(jì)用來(lái)感染Nokia Series 60平臺(tái)的系列手機(jī)，被感染的手機(jī)屏幕上會(huì)出現(xiàn)「Caribe」這個(gè)單詞，接著通過(guò)手機(jī)藍(lán)牙系統(tǒng)，尋找接近的其他裝置(手機(jī)、打印機(jī)、游戲機(jī)等)進(jìn)行傳播。

注：因?yàn)樗鄬?duì)較無(wú)害的特質(zhì)，專家相信這個(gè)蠕蟲是由稱之為29A的黑客組織為求概念性驗(yàn)證所開發(fā)。

2005：MMS的加入

CommWarrior在2005年被發(fā)現(xiàn)，在Cabir消失之后，其增加了傳播自身的能力，能同時(shí)利用藍(lán)牙和MMS。一旦被安裝了這款惡意軟件，CommWarrior便會(huì)存取受感染手機(jī)的通訊錄，并通過(guò)MMS(短信)將自己發(fā)送到每一位聯(lián)系人。MMS作為傳播方式引入了金錢方面的問(wèn)題，因?yàn)槊堪l(fā)送一個(gè)MMS信息，移動(dòng)設(shè)備持有人就得向運(yùn)營(yíng)商支付費(fèi)用。事實(shí)上，當(dāng)時(shí)一些電信行業(yè)人士表示，CommWarrior增加的流量最高達(dá)3.5%，因此他們最后也同意償還受害者的損失。

該病毒同樣也鎖定Symbian 60平臺(tái)，歐洲、亞洲和北美超過(guò)18個(gè)國(guó)家都有感染報(bào)告。11萬(wàn)5千個(gè)移動(dòng)裝置遭感染，超過(guò)45萬(wàn)個(gè)MMS在受害者不知情的狀況下發(fā)送。這也首次顯示出移動(dòng)蠕蟲可以像PC蠕蟲一樣快速地傳播。

注：當(dāng)時(shí)Symbian是最普及的智能手機(jī)操作平臺(tái)，全球有數(shù)千萬(wàn)的用戶。然而，CommWarrior的目標(biāo)只是盡快廣泛地傳播自己，并非藉由產(chǎn)生的MMS費(fèi)用來(lái)獲利。

2006：奔向金錢利益

自Cabir和CommWarrior后，檢測(cè)到名為RedBrowser的木馬程序，與其前輩有許多重要的不同之處。首先，它專門感染采用J2ME(Java 2 Micro Edition)平臺(tái)的手機(jī)。該木馬會(huì)將自己偽裝為一款能夠更容易瀏覽WAP(Wireless Application Protocol)網(wǎng)站的應(yīng)用程序。由于是攻擊目標(biāo)是應(yīng)用廣泛的Java，而非移動(dòng)設(shè)備的操作系統(tǒng)，攻擊的用戶范圍變得更廣了。其次，更重要的不同時(shí)，這款木馬專門設(shè)計(jì)來(lái)利用利用了高級(jí)SMS訂購(gòu)服務(wù)，手機(jī)用戶一般支付每條SMS達(dá)5美金的費(fèi)用。惡意軟件演化為了一種獲取金錢的手段。

注：一款惡意軟件要大規(guī)模感染不同操作系統(tǒng)的手機(jī)，最初被認(rèn)為是不可能的事，直至RedBrowser的出現(xiàn)。利用J2ME為作為攻擊的媒介是這期間的里程碑式攻擊，而以SMS作為獲利機(jī)制，同樣也是劃時(shí)代的歷史事件。

2007~2008：過(guò)渡期

這兩年間，盡管在移動(dòng)威脅的演化進(jìn)程上有所停滯，但在使用者不知情的狀況下，

使用戶轉(zhuǎn)入高級(jí)服務(wù)訂購(gòu)的惡意軟件數(shù)量不斷增加。

2009：移動(dòng)Botnet現(xiàn)身

2009年初，F(xiàn)ortinet發(fā)現(xiàn)了隱身在看似合法的Sexy View應(yīng)用程序里的Yxes (Sexy的變形詞) 這款惡意軟件。Yxes的特點(diǎn)在于它是Symbian認(rèn)證的應(yīng)用程序，顯然它利用了Symbian生態(tài)系統(tǒng)的漏洞，將惡意軟件寫在經(jīng)認(rèn)證的應(yīng)用程序里。

一旦遭到感染，受害者的通訊簿將被發(fā)送到一個(gè)中控服務(wù)器，接著這個(gè)服務(wù)器會(huì)將帶有URL地址的SMS給每一位聯(lián)系人。如果有人點(diǎn)擊了SMS中的鏈接，就會(huì)下載并安裝惡意軟件，整個(gè)過(guò)程就這樣循環(huán)往復(fù)下去。

Yxes的散布絕大部分限制在了亞洲，2009年至少有10萬(wàn)臺(tái)設(shè)備遭到感染。

注：Yxes是移動(dòng)惡意軟件演化的另一個(gè)轉(zhuǎn)折點(diǎn)有幾個(gè)原因。首先，它被視為是第一個(gè)鎖定Symbian 9操作系統(tǒng)攻擊的惡意軟件。第二，它是第一個(gè)透過(guò)發(fā)送短信，并在使用者未察覺(jué)的情況下自行連網(wǎng)的惡意軟件，這在演進(jìn)上是一項(xiàng)技術(shù)創(chuàng)新。最后且最重要的是，它采用混合模式傳播并與遠(yuǎn)程服務(wù)器通信。這讓反病毒毒分析師驚覺(jué)：這可能是新型態(tài)病毒——移動(dòng)殭尸網(wǎng)絡(luò)的預(yù)警。后續(xù)的發(fā)展確實(shí)也證實(shí)當(dāng)時(shí)的看法是正確的。

2010：移動(dòng)惡意軟件的“工業(yè)革命”

2010年是移動(dòng)惡意軟件歷史的一個(gè)重要里程碑，由區(qū)域性的個(gè)人或小團(tuán)體，轉(zhuǎn)變?yōu)榇笠?guī)模有組織的網(wǎng)絡(luò)罪犯，并且在全球?yàn)榉懂犜诓倏亍４藭r(shí)是移動(dòng)惡意軟件“工業(yè)革命”般的開始，攻擊者認(rèn)識(shí)到移動(dòng)惡意軟件可以輕易帶來(lái)金錢利益，驅(qū)動(dòng)了他們更積極地利用它。

2010同時(shí)也出現(xiàn)了第一個(gè)源自PC的移動(dòng)惡意軟件。Zitmo (Zeus in the Mobile之意)是第一個(gè)延伸于PC的Zeus的移動(dòng)惡意軟件，專門攻擊銀行業(yè)，是一款非常可怕的木馬程序。而Zitmo能與Zeus協(xié)作繞過(guò)SMS在在線銀行交易中的使用，使安全程序失靈。

同年還有其它備受注目的惡意軟件，最有名的則是Geinimi。Geinmi是最早一款設(shè)計(jì)攻擊Android平臺(tái)的惡意軟件之一，受感染的手機(jī)會(huì)被當(dāng)成是殭尸網(wǎng)絡(luò)的一員。一旦被安裝，該軟件會(huì)自行與遠(yuǎn)程服務(wù)器通訊并響應(yīng)執(zhí)行各種命令，例如安裝與卸載某些應(yīng)用程序，以便進(jìn)一步有效地控制該手機(jī)。

注： Android惡意軟件和移動(dòng)殭尸網(wǎng)絡(luò)的出現(xiàn)，無(wú)疑是2010年的代表性事件。但更注目的是有組織的網(wǎng)絡(luò)罪犯持續(xù)增加，并利用移動(dòng)惡意軟件獲取實(shí)質(zhì)經(jīng)濟(jì)利益。

2011：Android、Android還是Android

隨著對(duì)Android的攻擊持續(xù)加劇，2011年出現(xiàn)了更為強(qiáng)大的惡意軟件。DroidKungFu是一款直至今日仍被視為是技術(shù)最先進(jìn)的病毒之一，具有幾個(gè)獨(dú)特之處。這個(gè)惡意軟件包含一個(gè)著名的攻擊“root”，也就是可以root手機(jī)取得權(quán)限，成為手機(jī)的管理員;同時(shí)還可以規(guī)避反病毒軟件的檢測(cè)，第一場(chǎng)網(wǎng)絡(luò)罪犯與反病毒開發(fā)者的斗爭(zhēng)。

-uDev或Rage Against The Cage-并在完全掌控手機(jī)后，與命令服務(wù)器連系。它同時(shí)也能躲避防病毒軟件的偵測(cè)，是網(wǎng)絡(luò)罪犯和防毒研發(fā)團(tuán)隊(duì)兩者之間，持續(xù)進(jìn)行的戰(zhàn)爭(zhēng)中第一次的交戰(zhàn)。如同以往大多數(shù)的病毒一樣，DroidKungFu能自第三方非正式的應(yīng)用程序商店與在中國(guó)的許多網(wǎng)絡(luò)論壇中獲得。

Plankton也出現(xiàn)在2011年，目前仍是傳播范圍最廣的Android惡意軟件之一。即使是在Google Play這樣的官方Android應(yīng)用程序商店，Plankton也出現(xiàn)在為數(shù)眾多的應(yīng)用程序中，化身為Aggressive版本的廣告軟件，在手機(jī)中下載不需要的廣告或更改移動(dòng)設(shè)備的瀏覽主頁(yè)，或添加新的快捷方式與書簽。

注：Plankton是所有類別的惡意軟件中前十大最常見的病毒之一，與位列PC頂級(jí)病毒排行的等級(jí)。惡意軟件落后于PC病毒的時(shí)代一去不復(fù)返。僅是Plankton，就已感染了超過(guò)5百萬(wàn)臺(tái)的設(shè)備。

2013：新的攻擊模式

2013年重要事件是FakeDefend的出現(xiàn)，它是第一款A(yù)ndroid手機(jī)上的勒索軟件。FakeDefend會(huì)偽裝成防病毒軟件，運(yùn)行的方法如同PC上的偽防病毒軟件一樣。它會(huì)鎖死受害者的手機(jī)，要求給付贖金(例如付出高額的防病毒軟件訂閱費(fèi)用)，才能取回手機(jī)中的資料。不過(guò)，只要肯恢復(fù)出廠配置，這一招還是能夠破解。

Chuli也同樣出現(xiàn)在2013年，它是一個(gè)包含Android惡意軟件的針對(duì)性攻擊。2013年3月11至13日在日內(nèi)瓦舉行世界維吾爾大會(huì)的一個(gè)活動(dòng)人士，其電子郵件被用來(lái)攻擊其它的西藏人權(quán)主義者和擁護(hù)者的賬戶。郵件發(fā)送自一個(gè)被攻擊的賬戶，其中Chuli是附件。它被設(shè)計(jì)用來(lái)搜集信息，例如短信、SIM卡和手機(jī)里的聯(lián)系人、地理位置，并且能記錄受害者的通話;所有信息都會(huì)被傳送至遠(yuǎn)程服務(wù)器。

注：2013年可視為是移動(dòng)攻擊走向?qū)I(yè)化的一年。更多針對(duì)性攻擊、更為精巧的惡意軟件，如FakeDefend或Chuli，它們的攻擊案例都可以和我們?cè)赑C世界已知的威脅相提并論。而且，像Chuli這類的攻擊，我們不由得會(huì)想到，我們是否正進(jìn)入移動(dòng)網(wǎng)絡(luò)戰(zhàn)爭(zhēng)的年代?政府或其它國(guó)家機(jī)構(gòu)是否開始與這些攻擊來(lái)源有所關(guān)連?

接下來(lái)呢?

在網(wǎng)絡(luò)犯罪的領(lǐng)域，很難去預(yù)測(cè)明年甚或未來(lái)10年會(huì)發(fā)生什么事。移動(dòng)威脅在過(guò)去10年已有驚人的變化，網(wǎng)絡(luò)犯罪團(tuán)體也不斷地在尋找新的巧妙方法，來(lái)利用這些攻擊達(dá)到唯一的目的——金錢。

然而，隨著智能手機(jī)和其它移動(dòng)技術(shù)的爆炸性增長(zhǎng)，可預(yù)計(jì)的是：移動(dòng)和PC惡意軟件將會(huì)融合。移動(dòng)化的世界，惡意軟件的移動(dòng)化也勢(shì)不可擋。

除了行動(dòng)設(shè)備之外，未來(lái)網(wǎng)絡(luò)罪犯最有可能的攻擊標(biāo)的將會(huì)是物聯(lián)網(wǎng)(IoT; Internet of Things)。盡管很難去預(yù)測(cè)未來(lái)5年通過(guò)網(wǎng)絡(luò)連接的對(duì)象有多少;根據(jù)Gartner預(yù)計(jì)，2020年將會(huì)有300億個(gè)物品通過(guò)互聯(lián)網(wǎng)連結(jié)，IDC則是預(yù)估會(huì)有2,120億個(gè)。隨著愈來(lái)愈多制造商和服務(wù)供貨商利用“物聯(lián)”新契機(jī)獲利，假設(shè)這些新產(chǎn)品的開發(fā)過(guò)程尚未考慮到安全性。物聯(lián)網(wǎng)是否將會(huì)是網(wǎng)絡(luò)罪犯接下來(lái)覬覦的“接下來(lái)的大物”么?