當(dāng)前位置:首頁 >  IDC >  安全 >  正文

黑客利用銀行APP漏洞非法獲利2800萬愛加密指出金融業(yè)不可小覷的漏洞風(fēng)險(xiǎn)

 2018-12-19 15:25  來源: 互聯(lián)網(wǎng)   我來投稿 撤稿糾錯(cuò)

  域名預(yù)訂/競(jìng)價(jià),好“米”不錯(cuò)過

日前,上海警方搗毀一個(gè)利用網(wǎng)上銀行漏洞非法獲利的犯罪團(tuán)伙,據(jù)警方初步查證,馬某利用黑客技術(shù),長期在網(wǎng)上尋找全國各家銀行、金融機(jī)構(gòu)的安全漏洞。今年5月,他發(fā)現(xiàn)某銀行APP軟件中的*業(yè)務(wù)存在安全漏洞,遂使用非法手段獲取了5套該行的儲(chǔ)戶賬戶信息,在賬戶中存入少量金額后辦理定期存款,后通過技術(shù)軟件成倍放大存款金額,借此獲得*,累計(jì)非法獲利2800余萬元,馬某等6名犯罪嫌疑人被依法刑事拘留。

對(duì)此事件,專業(yè)的移動(dòng)信息安全服務(wù)商愛加密安全專家表示,造成此類安全事件的原因主要是利用了該手機(jī)銀行APP中*業(yè)務(wù)的安全漏洞,借用他人存單辦理了存單*,而在貸款審核流程中未對(duì)貸款人身份進(jìn)行驗(yàn)證,也未對(duì)終端環(huán)境進(jìn)行風(fēng)險(xiǎn)監(jiān)控。針對(duì)此次銀行APP事件,該專家認(rèn)為金融類APP除進(jìn)行常規(guī)的安全加固外,還應(yīng)注意以下幾個(gè)方面漏洞風(fēng)險(xiǎn),做到防患于未然。

Ø通訊數(shù)據(jù)明文風(fēng)險(xiǎn)

風(fēng)險(xiǎn)描述:

如果客戶端與服務(wù)端交互過程中的數(shù)據(jù)未采用任何加密處理,當(dāng)用戶在支付過程中輸入支付密碼、賬戶信息等關(guān)鍵信息時(shí)會(huì)造成被黑客利用進(jìn)行監(jiān)聽、植入病毒或木馬、竊取數(shù)據(jù)的危險(xiǎn)行為。黑客通過對(duì)業(yè)務(wù)通信進(jìn)行劫持偽造,動(dòng)態(tài)修改上下行信息,使金融APP的客戶和金融機(jī)構(gòu)造成巨大的經(jīng)濟(jì)損失。

安全建議:目前市面上的主流算法容易被黑客分析并獲取密鑰key,從而可以方便的對(duì)數(shù)據(jù)進(jìn)行解密還原操作,建議采用協(xié)議加密SDK。協(xié)議加密SDK算法采用白盒化的思路,把密鑰和算法融合在一起,在不可信的環(huán)境下達(dá)到保證密鑰安全性的目的。另外,在通信過程中,數(shù)據(jù)經(jīng)常存在被篡改的可能性,建議采用自帶數(shù)據(jù)校驗(yàn)功能的協(xié)議加密SDK對(duì)數(shù)據(jù)進(jìn)行完整性校驗(yàn),保證數(shù)據(jù)不可篡改。

ØH5代碼逆向破解風(fēng)險(xiǎn)

風(fēng)險(xiǎn)描述:對(duì)于H5應(yīng)用來說,因?yàn)镴avaScript作為開放的頁面腳本語言,本身安全缺陷明顯,并隸屬于解釋性語言,對(duì)任何人來說都是不設(shè)防的,而比較突出的攻擊手段如下包括H5網(wǎng)站被任意調(diào)試;H5應(yīng)用被隨意獲取相關(guān)JavaScript腳本,通過盜用來生成仿冒應(yīng)用;H5應(yīng)用中JavaScript暴露其業(yè)務(wù)邏輯和系統(tǒng)接口,黑客通過分析JavaScript業(yè)務(wù)代碼,逆向解讀應(yīng)用的核心邏輯,有針對(duì)性的通過應(yīng)用挖掘服務(wù)端漏洞,最終實(shí)現(xiàn)攻擊金融機(jī)構(gòu)核心資產(chǎn)的目的。

安全建議:愛加密移動(dòng)應(yīng)用H5安全加固平臺(tái)可針對(duì)此類風(fēng)險(xiǎn)向企業(yè)提供系統(tǒng)級(jí)的安全服務(wù)。該平臺(tái)具有自動(dòng)對(duì)H5文件進(jìn)行加密、混淆、支持批量上傳及下載H5文件、支持API接口調(diào)用方式、支持Web JS、APPJS、公眾號(hào)JS以及小程序JS代碼加固、支持APP中熱更新框架,如RN代碼加固等特點(diǎn)。加密后的H5代碼具備常量字符串加密、常量數(shù)字加密、二元表達(dá)式加密、代碼壓縮、函數(shù)變量名混淆、基本塊分裂、垃圾指令注入、防調(diào)試、禁止控制臺(tái)輸出、一次一密、域名綁定等功能,達(dá)到對(duì)JS文件的反調(diào)試、反竊取、反篡改等保護(hù),大大提高JavaScript文件的安全性。

Ø終端設(shè)備環(huán)境風(fēng)險(xiǎn)

風(fēng)險(xiǎn)描述:根據(jù)媒體的報(bào)道,自5月份犯罪嫌疑人就開始利用該漏洞作案,11月份銀行工作人員才進(jìn)行報(bào)案,中間長達(dá)數(shù)月該應(yīng)用都處于被攻擊且未被發(fā)覺的狀態(tài),此類情況絕非首例,且不止一家。

安全建議:此類黑客攻擊一般會(huì)在有安全風(fēng)險(xiǎn)的終端環(huán)境上運(yùn)行,比如Xposed、ROOT、模擬器、雙開、可疑進(jìn)程、代碼注入等等,愛加密提供安全清場(chǎng)SDK,客戶可自行嵌入到App中對(duì)客戶端所在手機(jī)環(huán)境進(jìn)行安全檢測(cè),嵌入后客戶端具備檢測(cè)框架攻擊行為(如Xposed,Substrate框架)、注入攻擊行為(如Hjack注入、inject注入)、調(diào)試攻擊行為(如gdbserver調(diào)試、ida調(diào)試)、劫持攻擊行為、模擬器攻擊行為、ROOT攻擊行為、病毒、木馬、惡意軟件攻擊行為等的能力??蓪?duì)發(fā)現(xiàn)的各種攻擊行為進(jìn)行數(shù)據(jù)回調(diào),幫助金融機(jī)構(gòu)快速作出應(yīng)急響應(yīng)。

此前有調(diào)查顯示,亞太地區(qū)金融行業(yè)的106款A(yù)PP中85%的應(yīng)用沒有通過基本的安全檢測(cè),50%的應(yīng)用至少存在4至6個(gè)漏洞,金融應(yīng)用仿冒、金融頁面釣魚攻擊、系統(tǒng)漏洞等問題層出不窮。為保證金融行業(yè)移動(dòng)應(yīng)用業(yè)務(wù)安全,愛加密基于金融業(yè)務(wù)特點(diǎn),建立了一套牢固的移動(dòng)應(yīng)用安全防護(hù)體系,為移動(dòng)金融業(yè)務(wù)提供可覆蓋全生命周期的解決方案,保證移動(dòng)應(yīng)用的合規(guī)性和安全性,從根源上解決移動(dòng)應(yīng)用業(yè)務(wù)面臨的各類風(fēng)險(xiǎn)。

目前,愛加密已服務(wù)中國銀行、交通銀行、浦發(fā)銀行、中泰證券、廣發(fā)證券、光大證券、陸金所、翼支付等數(shù)百家銀行、證券、保險(xiǎn)等互聯(lián)網(wǎng)金融機(jī)構(gòu)和第三方支付平臺(tái),致力做好金融安全的守門人,為金融行業(yè)健康穩(wěn)定發(fā)展保駕護(hù)航。

申請(qǐng)創(chuàng)業(yè)報(bào)道,分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處,共同探討創(chuàng)業(yè)新機(jī)遇!

相關(guān)標(biāo)簽
安全漏洞
網(wǎng)絡(luò)安全

相關(guān)文章

  • 2023 年 6 月頭號(hào)惡意軟件:Qbot 成為 2023 年上半年最猖獗惡意軟件

    CheckPointResearch報(bào)告稱,多用途木馬Qbot是2023年上半年最猖獗的惡意軟件。與此同時(shí),移動(dòng)木馬SpinOk于6月份首次位居榜首,該惡意軟件在MOVEit暴出零日漏洞后開始肆虐2023年7月,全球領(lǐng)先的網(wǎng)絡(luò)安全解決方案提供商CheckPoint?軟件技術(shù)有限公司(納斯達(dá)克股票代碼

    標(biāo)簽:
    網(wǎng)絡(luò)安全
  • 華順信安榮獲“網(wǎng)絡(luò)空間安全產(chǎn)學(xué)協(xié)同育人優(yōu)秀案例”二等獎(jiǎng)

    7月6日,“第三屆網(wǎng)絡(luò)空間安全產(chǎn)學(xué)協(xié)同育人優(yōu)秀案例”評(píng)選活動(dòng)正式公布獲獎(jiǎng)名單,華順信安與湘潭大學(xué)計(jì)算機(jī)學(xué)院·網(wǎng)絡(luò)空間安全學(xué)院聯(lián)合申報(bào)的參選案例獲評(píng)優(yōu)秀案例二等獎(jiǎng)。本次活動(dòng)由教育部高等學(xué)校網(wǎng)絡(luò)空間安全專業(yè)教學(xué)指導(dǎo)委員會(huì)產(chǎn)學(xué)合作育人工作組主辦,四川大學(xué)與華中科技大學(xué)共同承辦。本次評(píng)選,華順信安與湘潭大學(xué)

    標(biāo)簽:
    網(wǎng)絡(luò)安全
  • Check Point:攻擊者通過合法email服務(wù)竊取用戶憑證信息

    近日,CheckPoint?軟件技術(shù)有限公司的研究人員對(duì)電子郵件安全展開調(diào)研,結(jié)果顯示憑證收集仍是主要攻擊向量,59%的報(bào)告攻擊與之相關(guān)。它還在商業(yè)電子郵件入侵(BEC)攻擊中發(fā)揮了重要作用,造成了15%的攻擊。同時(shí),在2023年一份針對(duì)我國電子郵件安全的第三方報(bào)告顯示,與證書/憑據(jù)釣魚相關(guān)的不法活

    標(biāo)簽:
    網(wǎng)絡(luò)安全
  • 百代OSS防勒索解決方案,打造領(lǐng)先安全生態(tài)體系

    Verizon發(fā)布的VerizonBusiness2022數(shù)據(jù)泄露調(diào)查報(bào)告顯示,勒索軟件在2022年同比增長13%,增幅超過過去五年綜合。更危險(xiǎn)的是,今年又出現(xiàn)了許多新的勒索軟件即服務(wù)(RaaS)團(tuán)伙,例如Mindware、Onyx和BlackBasta,以及惡名昭著的勒索軟件運(yùn)營商REvil的回歸

    標(biāo)簽:
    網(wǎng)絡(luò)安全
  • 2023 CCIA年度榜單出爐,華順信安三度蟬聯(lián)“中國網(wǎng)安產(chǎn)業(yè)成長之星

    6月21日,中國網(wǎng)絡(luò)安全產(chǎn)業(yè)聯(lián)盟(CCIA)正式發(fā)布由網(wǎng)絡(luò)安全產(chǎn)業(yè)研究機(jī)構(gòu)“數(shù)說安全”提供研究支持的“2023年中國網(wǎng)安產(chǎn)業(yè)競(jìng)爭(zhēng)力50強(qiáng)、成長之星、潛力之星”榜單。華順信安憑借行業(yè)內(nèi)優(yōu)秀的專業(yè)能力與強(qiáng)勁的核心競(jìng)爭(zhēng)力再次榮登“2023年中國網(wǎng)安產(chǎn)業(yè)成長之星”榜單。據(jù)悉,中國網(wǎng)絡(luò)安全產(chǎn)業(yè)聯(lián)盟(CCIA)

    標(biāo)簽:
    網(wǎng)絡(luò)安全

熱門排行

信息推薦