G DATA：26款市售手機韌體被偷放惡意程式，小米、華為、聯想皆受害

去年曾揭露中國手機Star N9500內建惡意程式的德國資安業者G DATA於本周釋出的行動惡意程式報告中指出，市場上至少有26款的Android手機在賣給消費者時韌體內藏有惡意程式，受害的不乏知名品牌，例如來自中國的小米、華為與聯想所製造的機種。

該報告則表列出21款受到惡意程式感染的市售Android手機，這些手機在銷售到使用者手中時即藏有惡意程式，包括小米3（Xiaomi MI3）、華為的Huawei G510、聯想的Lenovo S860、Android P8、ConCorde SmartPhone6500、DJC touchtalk、ITOUCH、NoName S806i、SESONN N9500、SESONN P8、Xido X1111，中國的阿爾卑斯（Alps）則有10款手機上榜。

這個名單是G DATA的Android網路安全服務所接獲的報告，再加上其他安全研究人員的發現而來，同時他們也相信還有更多含有惡意程式的Android裝置尚未曝光。

G DATA指出，這些裝置的惡意程式是藏匿在韌體中，但他們認為禍首應該不是裝置製造商，而是中間商，因為製造商應該不會冒著商譽受損的風險於韌體中夾帶惡意程式。中間商除了想從手機銷售中獲利外，也想藉由竊取使用者資料或嵌入廣告獲取額外的收益。

相關惡意程式通常夾帶於合法的程式中，中間商竄改了韌體中內建的合法程式，以使其夾帶惡意功能。其中一個常見的手法是竄改Facebook程式，此一內建於手機韌體中的Facebook程式除了具備完整的Facebook功能之外，還能附加許多惡意功能，包括存取網路、讀取或傳送簡訊、存取或修改通話或手機資料、取得手機位置或監控手機通訊內容等。

G DATA表示，由於被寄生的合法程式是存放在韌體中，使用者不但無從察覺亦無法刪除，只能藉由行動安全軟體偵測到惡意程式的存在，建議發現惡意程式的使用者立即聯繫裝置的製造商。

根據G DATA的調查，基於Android平台的惡意程式樣本仍快速成長中，今年第二季發現的Android惡意程式案例便高達5.6萬個，比第一季增加27%，平均每14秒就會發現一個新的Android惡意程式樣本。（編譯/陳曉莉）