「應用克隆」漏洞被發現 涉及國內10%的安卓應用

2021-01-09 中國新聞網

「應用克隆」漏洞被發現 涉及國內10%的安卓應用
2018-01-09 21:07:41來源：中國新聞網作者：${中新記者姓名}責任編輯：史建磊

　　中新網北京1月9日電 (程春雨)今日，國內安全機構披露，檢測發現國內安卓應用市場十分之一的APP存在漏洞而容易被進行「應用克隆」攻擊，甚至國內用戶上億的多個主流APP均存在這類漏洞，幾乎影響國內所有安卓用戶。

玄武實驗室以某APP為例展示了「應用克隆」攻擊的效果。

　　國家信息安全漏洞共享平臺(CNVD)表示，漏洞影響使用WebView控制項，開啟file域訪問並且未按安全策略開發的Android應用APP。攻擊者利用該漏洞，可遠程獲取用戶隱私數據(包括手機應用數據、照片、文檔等敏感信息)，還可竊取用戶登錄憑證，在受害者毫無察覺的情況下實現對APP用戶帳戶的完全控制。由於該組件廣泛應用於安卓平臺，導致大量APP受影響，構成較為嚴重的攻擊威脅。

　　騰訊安全玄武實驗室負責人於暘表示，該「應用克隆」的移動攻擊威脅模型是基於移動應用的一些基本設計特點導致的，所以幾乎所有移動應用都適用該攻擊模型。在這個攻擊模型的視角下，很多以前認為威脅不大、廠商不重視的安全問題，都可以輕鬆「克隆」用戶帳戶，竊取隱私信息，盜取帳號及資金等。

　　「傳統的利用軟體漏洞進行攻擊的思路，一般是先用漏洞獲得控制，再植入後門。好比想長期進出你酒店的房間，就要先悄悄尾隨你進門，再悄悄把鎖弄壞，以後就能隨時進來。現代行動作業系統已經針對這種模式做了防禦，不是說不可能再這樣攻擊，但難度極大。如果我們換一個思路：進門後，找到你的酒店房卡，複製一張，就可以隨時進出了。不但可以隨時進出，還能以你的名義在酒店裡消費。目前，大部分移動應用在設計上都沒有考慮這種攻擊方式。」於暘說。

　　基於該攻擊模型，騰訊安全玄武實驗室以某個常被廠商忽略的安全問題進行檢查，在200個移動應用中發現27個存在漏洞，比例超過10%。

　　國家網際網路應急中心網絡安全處副處長李佳表示，在獲取到漏洞的相關情況之後，中心安排了相關的技術人員對漏洞進行了驗證，並且也為漏洞分配了漏洞編號(CNVD-2017-36682)，於2017年12月10號向27家具體的APP發送了漏洞安全通報，提供漏洞詳細情況及建立了修複方案。目前有的APP已經有修復了，有的還沒有修復。(完)

相關焦點

  • 發現應用克隆漏洞 騰訊發現可克隆幾十款App的漏洞
    騰訊方面同時傳來了信息:：騰訊玄武實驗室上報了一個重大漏洞，這屬於一個應用克隆的漏洞，騰訊方面還提出了漏洞利用方法。這也透露了一個信息，這個漏洞應該是影響安卓系統的多款應用，不然工信部領導不會來站臺。3點半左右，發布會開始，懸念揭曉。
  • 騰訊安全披露「應用克隆」漏洞 安卓主流APP中槍
    【環球網科技報導 記者 李文瑤】1月9日，由騰訊安全玄武實驗室發現的「應用克隆」這一移動攻擊威脅模型正式對外披露。據了解，基於該攻擊模型，騰訊安全玄武實驗室以某個常被廠商忽略的安全問題進行檢查，在200個移動應用中發現27個存在漏洞，比例超過10%。而這一漏洞利用方式一旦被不法分子利用，就可以輕鬆克隆獲取用戶帳戶權限，盜取用戶帳號及資金等個人隱私信息和資產。
  • 安卓APP存在"應用克隆"漏洞 可複製支付寶信息並消費
    儘管現在支付寶已經修復了這一漏洞，但騰訊安全玄武實驗室與知道創宇404實驗室1月9日披露的攻擊威脅模型「應用克隆」仍令人十分震驚。騰訊安全玄武實驗室負責人於暘表示：「該攻擊模型是基於移動應用的一些基本特點設計的。所以，幾乎所有移動應用都適用該攻擊模型。」研究顯示，市面上200多款常見安卓應用中，有27款應用可被這種方式攻擊，佔比超過10%。
  • 360顯危鏡免費提供「應用克隆」漏洞自動化檢測服務
    近期國內多款知名手機APP被曝光存在「應用克隆」漏洞。攻擊者利用該漏洞，可以輕鬆「克隆」用戶帳戶，竊取隱私信息，盜取帳號及資金等，國內約10%的主流APP受到漏洞影響。作為中國領先的網絡安全廠商，360旗下APP從產品開發階段就已對「應用克隆」攻擊威脅進行全面預防，完全不受此次漏洞影響。
  • 騰訊安全玄武實驗室發現「應用克隆」攻擊模型:幾乎適用所有安卓...
    央廣網北京1月9日消息 今天，騰訊安全玄武實驗室與知道創宇404實驗室共同公布並展示了「應用克隆」這一移動攻擊威脅模型。這一攻擊模型幾乎適用於安卓作業系統下的所有移動應用，iOS系統尚未涉及。　　工信部網絡安全管理局網絡與數據安全處處長付景廣表示：「現在隨著網際網路及數字經濟的發展，網絡安全一方面造福於國家、社會，同時帶來的網絡安全問題也越來越突出。
  • 安卓App存在「應用克隆」風險,行業如何應對?
    近日，騰訊安全玄武實驗室負責人於暘披露了一移動攻擊威脅模型——「應用克隆」。負責人在現場利用支付寶漏洞展示了攻擊效果：在安卓8.1.0的手機上，「攻擊者」向用戶發送一條包含惡意連結的手機簡訊，用戶只要一點擊，其支付寶帳戶就會被立即「克隆"到對方的手機上，然後「攻擊者」就可以利用偷來的信息進行消費。更可怕的是，不僅僅支付寶會受此威脅，我們常用的餓了麼、美團等將近十分之一的安卓應用都在面臨上號被克隆的威脅。
  • APP漏洞賞金項目之安卓APP應用程式測試
    ITsec是一家全方位的信息安全評估公司，我的實習工作就是開發一個以供公司內部使用的安卓APP。通常，我在檢查程序Bug時總是會把關注點放在Web層面，而忽視了安卓APP的安全問題。所以，經過我一段時間針對安卓應用的安全研究之後，有所收穫，簡單寫在這裡和大家分享。
  • 安全漏洞ZipperDown曝光,微博、快手等上萬個應用均受影響!
    而官方卻未公布漏洞細節，但在強大的微博中，無缺已經從GitHub中發現了疑似漏洞細節Q:我是Android用戶，是否受ZipperDown影響？A:在Android平臺同樣發現了類似漏洞，並且已經在大量流行應用中確認。近期，盤古實驗室在針對不同客戶的iOS應用安全審計過程中，發現了一類通用的安全漏洞。
  • 應用克隆:黑產的四維攻擊和白帽子的技術涅槃
    在1月9號的騰訊安全發布會上，騰訊安全玄武實驗室的負責人「TK教主」於暘在現場演示了一段視頻，告訴外界，利用克隆技術的應用克隆，所造成的威脅和破壞到底有多大——只見兩支手機擺放在桌子上，A手機向被攻擊的手機B發送了一條簡訊，這條簡訊中包含了一條惡意連結，B手機打開這個連結後，彈出了一個搶紅包的頁面，就像很多營銷推廣中常見的套路那樣。
  • ZipperDown漏洞來了!微博、陌陌、快手等常用 iOS 應用恐要中招
    10%的iOS應用可能受ZipperDown漏洞的影響據其介紹，創建漏洞指紋後，他們在Janus平臺(appscan.io)上進行溯源分析和相似漏洞檢索，結果發現約10%的iOS應用可能受ZipperDown漏洞的影響。
  • 安卓被曝「寄生獸」漏洞 超千萬安卓APP存在
    昨天記者了解到，360手機安全研究團隊vulpeckerteam提交了其發現的安卓APP新型通用安全漏洞「寄生獸」，市面上超過千萬個安卓的APP都可能存在這一漏洞。　　360公司安全工程師宋申雷介紹，這一嚴重的安全漏洞是由兩方面原因造成的：一方面，安卓系統本身就存在沒有對緩存進行強校驗的缺陷；另一方面，在這個缺陷的基礎上，各企業推出的APP都存在涉及緩存信息安全的漏洞。利用該漏洞，攻擊者可以直接在用戶手機中植入木馬，盜取用戶的簡訊照片等個人隱私，甚至盜取銀行、支付寶等帳號密碼等。
  • 安卓用戶不得不知的10個應用商店!
    03 酷安——國內另類的應用商店酷安能在應用寶，百度應用助手以及華為小米應用商店中脫穎而出，絕對堪稱國內另類的應用商店，目前有安卓版和iOS版，不過iOS版不是應用商店。酷安在國內也是可以直接使用，不過酷安的應用相比較上面兩個平臺相對較少，也比較局限，淘一些小眾實用的app還是不錯的。04 豌豆莢說實話小佳從來沒有用過豌豆莢，印象中的豌豆莢是雜亂無章，但是今天我才發現原來豌豆莢的網頁版和手機版設計都很精美。
  • 遊戲廠商對安卓應用市場說不,國內「安卓稅」竟比「蘋果稅」還高
    國內主要安卓手機平臺與遊戲廠商的分成比例多為5:5。就在海外遊戲廠商Epic與蘋果公司就應用商店的分成問題展開拉鋸的同時，在國內，安卓遊戲市場畸高的渠道抽成比例也開始遭到廠家的抵制。目前上述兩家公司沒有對未在主流安卓遊戲市場上架作出明確解釋。國內安卓市場分成達到50%今年以來Epic就旗下遊戲《堡壘之夜》的渠道分成問題與蘋果公司「打得不可開交」。Epic甚至發起了一項長達60頁紙的訴訟，起訴蘋果的壟斷行為。眾所周知，蘋果公司對於其應用商店中的下載和應用內購買收入將抽取30%的費用，俗稱「蘋果稅」。
  • 雲安全日報201222:紅帽OpenShift雲應用平臺發現執行任意命令漏洞...
    Red Hat OpenShift Container Platform(紅帽OpenShift容器平臺)是美國紅帽（Red Hat）公司的一套可幫助企業在物理、虛擬和公共雲基礎架構之間開發、部署和管理現有基於容器的應用程式的應用平臺。它採用企業級Kubernetes技術構建,專為內部部署或私有雲部署而設計,可以實現全堆棧自動化運維，以管理混合雲和多雲部署。
  • 從寶可夢GO到微信:安卓64位應用普及有多難?
    使用APPChecker軟體，我們可以清楚地看到自己手機裡所安裝軟體對應的處理器字長（也就是俗稱的「位」），以及它們所適配的安卓系統版本。不難發現，除了微信、淘寶、米家、嗶哩嗶哩等極少數個例之外，絕大多數常用的國內APP至今依然還是只有32位版本。為什麼會這樣？是因為現在依然還有安卓手機採用的是32位主控方案嗎？
  • Twitter又曝安全漏洞!這次威脅到安卓用戶私人數據
    8月6日消息，據外媒報導，美國當地時間周三，社交媒體Twitter證實，一個安全漏洞可能暴露其安卓版應用程式用戶的私信，但沒有證據表明該漏洞曾被黑客利用。這個漏洞可能允許運行在同一設備上的惡意安卓應用繞過該系統的內置數據權限，虹吸存儲在Twitter應用中的用戶私信信息。
  • Z軸拆分法:故事還得從安卓應用圖標講起
    寫這篇文章的初衷本來只是打算完成給讀者的一個承諾，講解一下Android 8.0後的應用圖標適配。可是寫著寫著，發現安卓現行的圖標適配法則和「Z軸拆分法」十分類似，便由適配法牽扯出了許多相關話題。希望通過本文，UI同行們能透過手法本身，進行更多的思考。
  • 趣頭條已恢復安卓應用商店上架 此前被央視315點名
    首頁 > 見聞 > 關鍵詞 > 趣頭條最新資訊 > 正文 趣頭條已恢復安卓應用商店上架 此前被央視315點名
  • 「微信聽書」獨立App已上架到安卓應用商店 可在應用內創建「音頻...
    原標題：「微信聽書」獨立App已上架到安卓應用商店，可在應用內創建「音頻號」 　　「微信聽書」App已於近日上架到應用寶、小米應用商店等各大安卓應用商店
  • 華為手機克隆在哪
    第一種方法教程：在手機桌面上找到「實用工具」並點擊進入，我們就可以發現「手機克隆」的應用。如果我們點擊要將其他設備的數據發送給本機的話，就點擊「這是新設備」，然後，我們就可以發現裡面有三個選項，分別是：華為、其他安卓以及iPhone，之所以會有三個選項，是因為如果你用的是華為手機的話，基本都會自帶克隆應用的。