返回頂部
????利用支付型APP的漏洞，向用戶發(fā)送一條包含惡意鏈接的手機(jī)短信，用戶一旦點(diǎn)擊，其賬戶一秒內(nèi)就被“克隆”到“攻擊者”的手機(jī)中，然后“攻擊者”就可以任意查看用戶賬戶信息并消費(fèi)。這就是被稱為“應(yīng)用克隆”的威脅模型風(fēng)險(xiǎn)。昨天，騰訊安全玄武實(shí)驗(yàn)室將這一模型正式對(duì)外披露，并稱其可能威脅大多數(shù)安卓用戶。
????基于該攻擊模型，實(shí)驗(yàn)室以某個(gè)常被廠商忽略的安全問(wèn)題進(jìn)行檢查，在200個(gè)移動(dòng)應(yīng)用中發(fā)現(xiàn)了27個(gè)存在漏洞，比例超過(guò)10%。騰訊安全玄武實(shí)驗(yàn)室負(fù)責(zé)人于旸介紹道：“此次發(fā)現(xiàn)的漏洞至少涉及國(guó)內(nèi)安卓應(yīng)用市場(chǎng)十分之一的APP，如支付寶、攜程、餓了么等多個(gè)主流APP。安卓用戶有必要警惕這一風(fēng)險(xiǎn)。”
????于旸介紹道，由于現(xiàn)在手機(jī)操作系統(tǒng)本身對(duì)漏洞攻擊已有較多防御措施，所以一些安全問(wèn)題常常被APP廠商和手機(jī)廠商忽略。而只要對(duì)這些貌似威脅不大的安全問(wèn)題進(jìn)行組合，就可以實(shí)現(xiàn)“應(yīng)用克隆”攻擊。這一漏洞利用方式一旦被不法分子利用，就可以輕松克隆獲取用戶賬戶權(quán)限，盜取用戶賬號(hào)及資金。
????在發(fā)現(xiàn)這些漏洞后，騰訊安全玄武實(shí)驗(yàn)室通過(guò)國(guó)家互聯(lián)網(wǎng)應(yīng)急中心向廠商通報(bào)了相關(guān)信息，并給出了修復(fù)方案，避免該漏洞被不法分子利用。但考慮到相關(guān)問(wèn)題影響之廣，難以將相關(guān)信息逐個(gè)通知給所有移動(dòng)應(yīng)用開(kāi)發(fā)商，所以通過(guò)新聞發(fā)布會(huì)希望更多移動(dòng)應(yīng)用開(kāi)發(fā)商了解該問(wèn)題并進(jìn)行自查。同時(shí)，玄武實(shí)驗(yàn)室將提供“玄武支援計(jì)劃”協(xié)助處理。
