「應用克隆」漏洞被發現 涉及國內10%的安卓應用

2021-01-10 中國新聞網

「應用克隆」漏洞被發現 涉及國內10%的安卓應用
2018-01-09 21:07:41來源：中國新聞網作者：${中新記者姓名}責任編輯：史建磊

　　中新網北京1月9日電 (程春雨)今日，國內安全機構披露，檢測發現國內安卓應用市場十分之一的APP存在漏洞而容易被進行「應用克隆」攻擊，甚至國內用戶上億的多個主流APP均存在這類漏洞，幾乎影響國內所有安卓用戶。

玄武實驗室以某APP為例展示了「應用克隆」攻擊的效果。

　　國家信息安全漏洞共享平臺(CNVD)表示，漏洞影響使用WebView控制項，開啟file域訪問並且未按安全策略開發的Android應用APP。攻擊者利用該漏洞，可遠程獲取用戶隱私數據(包括手機應用數據、照片、文檔等敏感信息)，還可竊取用戶登錄憑證，在受害者毫無察覺的情況下實現對APP用戶帳戶的完全控制。由於該組件廣泛應用於安卓平臺，導致大量APP受影響，構成較為嚴重的攻擊威脅。

　　騰訊安全玄武實驗室負責人於暘表示，該「應用克隆」的移動攻擊威脅模型是基於移動應用的一些基本設計特點導致的，所以幾乎所有移動應用都適用該攻擊模型。在這個攻擊模型的視角下，很多以前認為威脅不大、廠商不重視的安全問題，都可以輕鬆「克隆」用戶帳戶，竊取隱私信息，盜取帳號及資金等。

　　「傳統的利用軟體漏洞進行攻擊的思路，一般是先用漏洞獲得控制，再植入後門。好比想長期進出你酒店的房間，就要先悄悄尾隨你進門，再悄悄把鎖弄壞，以後就能隨時進來。現代行動作業系統已經針對這種模式做了防禦，不是說不可能再這樣攻擊，但難度極大。如果我們換一個思路：進門後，找到你的酒店房卡，複製一張，就可以隨時進出了。不但可以隨時進出，還能以你的名義在酒店裡消費。目前，大部分移動應用在設計上都沒有考慮這種攻擊方式。」於暘說。

　　基於該攻擊模型，騰訊安全玄武實驗室以某個常被廠商忽略的安全問題進行檢查，在200個移動應用中發現27個存在漏洞，比例超過10%。

　　國家網際網路應急中心網絡安全處副處長李佳表示，在獲取到漏洞的相關情況之後，中心安排了相關的技術人員對漏洞進行了驗證，並且也為漏洞分配了漏洞編號(CNVD-2017-36682)，於2017年12月10號向27家具體的APP發送了漏洞安全通報，提供漏洞詳細情況及建立了修複方案。目前有的APP已經有修復了，有的還沒有修復。(完)

相關焦點

  • 發現應用克隆漏洞 騰訊發現可克隆幾十款App的漏洞
    騰訊方面同時傳來了信息:：騰訊玄武實驗室上報了一個重大漏洞，這屬於一個應用克隆的漏洞，騰訊方面還提出了漏洞利用方法。這也透露了一個信息，這個漏洞應該是影響安卓系統的多款應用，不然工信部領導不會來站臺。3點半左右，發布會開始，懸念揭曉。
  • 騰訊安全披露「應用克隆」漏洞 安卓主流APP中槍
    【環球網科技報導 記者 李文瑤】1月9日，由騰訊安全玄武實驗室發現的「應用克隆」這一移動攻擊威脅模型正式對外披露。據了解，基於該攻擊模型，騰訊安全玄武實驗室以某個常被廠商忽略的安全問題進行檢查，在200個移動應用中發現27個存在漏洞，比例超過10%。而這一漏洞利用方式一旦被不法分子利用，就可以輕鬆克隆獲取用戶帳戶權限，盜取用戶帳號及資金等個人隱私信息和資產。
  • 安卓APP存"應用克隆"漏洞 可複製支付寶信息消費
    安卓APP存在"應用克隆"漏洞 可複製支付寶信息並消費　　「應用克隆」這一移動攻擊威脅模型的對外披露，引發了不少網民的恐慌情緒。一些一度被認為威脅不大、廠商也不重視的安全漏洞，竟然能「克隆」用戶帳戶、竊取隱私信息、盜取帳號及資金……營造安全行動支付環境，容不得一絲僥倖。
  • 騰訊安全玄武實驗室發現「應用克隆」漏洞:多款主流 App 中招!
    騰訊安全玄武實驗室發現「應用克隆」漏洞：多款主流 App 中招！ 站長之家(ChinaZ.com) 1 月 10 日消息，昨天下午，騰訊安全玄武實驗室與知道創宇 404 實驗室在北京召開了聯合發布會，在發布會現場騰訊玄武實驗室宣布發現了攻擊威脅模型「應用克隆」漏洞。
  • 安卓APP存在"應用克隆"漏洞 可複製支付寶信息並消費
    儘管現在支付寶已經修復了這一漏洞，但騰訊安全玄武實驗室與知道創宇404實驗室1月9日披露的攻擊威脅模型「應用克隆」仍令人十分震驚。騰訊安全玄武實驗室負責人於暘表示：「該攻擊模型是基於移動應用的一些基本特點設計的。所以，幾乎所有移動應用都適用該攻擊模型。」研究顯示，市面上200多款常見安卓應用中，有27款應用可被這種方式攻擊，佔比超過10%。
  • 360顯危鏡免費提供「應用克隆」漏洞自動化檢測服務
    近期國內多款知名手機APP被曝光存在「應用克隆」漏洞。攻擊者利用該漏洞，可以輕鬆「克隆」用戶帳戶，竊取隱私信息，盜取帳號及資金等，國內約10%的主流APP受到漏洞影響。作為中國領先的網絡安全廠商，360旗下APP從產品開發階段就已對「應用克隆」攻擊威脅進行全面預防，完全不受此次漏洞影響。
  • 騰訊安全玄武實驗室發現「應用克隆」攻擊模型:幾乎適用所有安卓...
    央廣網北京1月9日消息 今天，騰訊安全玄武實驗室與知道創宇404實驗室共同公布並展示了「應用克隆」這一移動攻擊威脅模型。這一攻擊模型幾乎適用於安卓作業系統下的所有移動應用，iOS系統尚未涉及。　　工信部網絡安全管理局網絡與數據安全處處長付景廣表示：「現在隨著網際網路及數字經濟的發展，網絡安全一方面造福於國家、社會，同時帶來的網絡安全問題也越來越突出。
  • 安卓App存在「應用克隆」風險,行業如何應對?
    近日，騰訊安全玄武實驗室負責人於暘披露了一移動攻擊威脅模型——「應用克隆」。負責人在現場利用支付寶漏洞展示了攻擊效果：在安卓8.1.0的手機上，「攻擊者」向用戶發送一條包含惡意連結的手機簡訊，用戶只要一點擊，其支付寶帳戶就會被立即「克隆"到對方的手機上，然後「攻擊者」就可以利用偷來的信息進行消費。更可怕的是，不僅僅支付寶會受此威脅，我們常用的餓了麼、美團等將近十分之一的安卓應用都在面臨上號被克隆的威脅。
  • 「應用克隆」漏洞暫無法自動化檢測 騰訊發布「玄武支援計劃」協助...
    1月9日，騰訊安全玄武實驗室與知道創宇404實驗室，正式針對最新發現的「應用克隆」攻擊模型，聯合召開安全技術研究成果發布會。據騰訊安全玄武實驗室負責人於暘介紹，利用「應用克隆」攻擊模型，在國內包括支付寶、攜程等200款主流APP上測試後發現了27個漏洞，比例超過10%，而受到影響的APP，則存在用戶帳戶信息、數據、資金被克隆竊取的風險。
  • 「應用克隆」攻擊可竊取用戶帳戶,支付寶、餓了麼等都中招了
    最近，騰訊安全玄武實驗室負責人「TK教主」於暘就用簡訊為載體，現場披露了」應用克隆「這一移動攻擊威脅模型。玄武實驗室以支付寶App為例展示了攻擊效果：在升級到最新安卓8.1.0的手機上，利用支付寶App自身的漏洞，「攻擊者」向用戶發送一條包含惡意連結的手機簡訊，用戶一旦點擊，其支付寶帳戶一秒鐘就被「克隆」到「攻擊者」的手機中，然後「攻擊者」就可以任意查看用戶帳戶信息，並可進行消費。
  • 應用克隆:黑產的四維攻擊和白帽子的技術涅槃
    在1月9號的騰訊安全發布會上，騰訊安全玄武實驗室的負責人「TK教主」於暘在現場演示了一段視頻，告訴外界，利用克隆技術的應用克隆，所造成的威脅和破壞到底有多大——只見兩支手機擺放在桌子上，A手機向被攻擊的手機B發送了一條簡訊，這條簡訊中包含了一條惡意連結，B手機打開這個連結後，彈出了一個搶紅包的頁面，就像很多營銷推廣中常見的套路那樣。
  • 安卓用戶不得不知的10個應用商店!
    APKpure擁有網頁版和安卓客戶端，支持中文，曾有一段時間這個網站在國內超級火，目前網站無法在國內訪問，完全可替代谷歌官方商店。這個應用商店的首頁推薦和分類不亞於谷歌商店，你可以通過下載量和最近更新以及評級來選擇軟體的排序。
  • 都2020年了 谷歌還沒有解決山寨和克隆應用遊戲的問題
    另外就是在谷歌Play Store應用商店中,山寨甚至假冒應用也非常常見，大家都已經習以為常。在安卓遊戲商店裡充斥著山寨遊戲，雖然假冒應用並不多，但一旦出現就會有破壞性的影響。雖然兩者之間的區別很微妙,但了解這一差異其實很重要。克隆應用指的是一款應用程式或遊戲，外觀與運行方式與現有應用或遊戲非常相似，但並不是完整照抄的版本。
  • 趣頭條已恢復安卓應用商店上架 此前被央視315點名
    首頁 > 見聞 > 關鍵詞 > 趣頭條最新資訊 > 正文 趣頭條已恢復安卓應用商店上架 此前被央視315點名
  • 圖片應用Instagram安卓版全面下線 用戶狂吐槽
    DoNews 7月10日消息（記者 餘維維）近日，Facebook旗下照片應用分享軟體Instagram已悄然從國內各大安卓應用商店下架，具體下架原因尚不清楚。 包括91無線、豌豆莢、應用寶等在內的安卓商店，都已無法搜索到Instagram，但已下載該應用的用戶仍可正常運行。而在蘋果AppStore中，用戶仍可正常檢索並下載Instagram。此外，WAP版Instagram（instagram.com）也可以正常訪問。 關於Instagram下架的原因，網友們眾說紛紜。
  • 趣頭條疑似在各大安卓應用商店下架,蘋果目前也已下架
    7月16日晚間，在央視315晚會曝光趣頭條廣告亂象後，記者搜索發現，趣頭條APP疑似在各大安卓應用商店下架，包括小米應用商店、應用寶等，但蘋果App Store暫未下架。華為應用市場截屏安卓市場截屏之前趣頭條發布聲明致歉，聲明中表示，公司已成立廣告生態治理專項工作組，正在對平臺涉及的廣告進行全面徹查，一旦發現相關問題，堅決嚴厲清查和封禁。
  • 成人應用Lovense出現「小錯誤」:用震動棒玩耍時,系統竟會偷偷錄音!
    但是，控制震動棒的應用在你完全不知曉的情況下，錄下了你自嗨時候的聲音，並存在你手機中，那情況就有些嚴重了。今日，一位Reddit的用戶指出了香港性用品公司Lovense的震動棒遠程控制應用（Lovense Remote）在未經用戶知曉的情況下，記錄了用戶的信息。一份時長達6分鐘的聲音文件被存儲在本地的文件夾中。
  • Facebook改漏洞懸賞政策:報告平臺第三方應用可獲獎
    新浪科技訊 北京時間9月18日上午消息，Facebook平臺上的第三方應用可訪問用戶數據，但這些應用近期被發現諸多漏洞。隨著相關批評越來越多，Facebook近日宣布，將其漏洞賞金項目（bug bounty program）擴大至第三方應用範圍。
  • 安卓應用商店格局已變 豌豆莢將關閉PC版服務
    這意味著豌豆莢今後將主要以移動端App形式為用戶繼續提供應用搜索下載服務。豌豆莢官網截圖目前，用戶仍可在官網點擊「在電腦上安裝豌豆莢」來下載Windows平臺客戶端安裝包。Mac版與Chrome插件仍在官網有連結此外，官方並未在公告中明確Mac版客戶端及Chrome瀏覽器插件是否也會受此次PC停服影響，和Windows客戶端一樣，用戶也可以正常下載安裝。
  • 挖洞經驗 | 看我如何發現「小火車託馬斯」智能玩具APP聊天應用漏洞
    原標題：挖洞經驗 | 看我如何發現「小火車託馬斯」智能玩具APP聊天應用漏洞 最近，我向智能玩具廠商ToyTalk提交了兩個APP相關的漏洞並獲得了$1750美金獎勵，目前，漏洞已被成功修復，在此我打算公開詳細的漏洞發現過程，以便其他APP開發人員將這種脆弱性威脅納入開發過程的安全性考慮範圍。