腾讯安全&知道创宇发布克隆攻击 安卓用户受影响
1月9日,“应用克隆”这一移动攻击威胁模型正式对外披露。腾讯安全玄武实验室与知道创宇404安全实验室,在联合召开的技术研究成果发布会上公布并展示了这一重大研究成果。工信部 网络安全管理局网络与数据安全处处长付景广、CNCERT(国家互联网应急中心)网络安全处副处长李佳、腾讯副总裁马斌、腾讯安全玄武实验室负责人于旸(TK教主)、知道创宇首席安全官兼404安全实验室负责人周景平(Heige,人称黑哥)等领导及专家出席了新闻发布会。
据发布会披露,“应用克隆”是基于移动应用的一些基本设计特点导致的,几乎所有移动应用都适用该攻击模型。在这个攻击模型的视角下,很多以前认为威胁不大、厂商不重视的安全问题,都可以轻松“克隆”用户账户,窃取隐私信息,盗取账号及资金等。腾讯安全与知道创宇联手呼吁建立“移动安全新思维”,移动互联网时代的安全形势更加复杂,只有真正用移动思维来思考移动安全,才能正确评估安全问题的风险。
据了解,此次披露的“应用克隆”中涉及的部分技术此前知道创宇404安全实验室负责人、素有“漏洞之王”称号的黑哥早在2012年底就曾发现,并在2013年公开发表过,同时被国外安全研究员在相关安全研究时作过引用表述,显然这并未引起本应该有的高度重视。随后,黑哥更是进一步对自己的研究成果进行了系统整理,并曾经上报给了谷歌 Android 团队,但至今仍未收到过来自官方的任何回复。
黑哥现场讲解“应用克隆”攻击方式的发现过程
据黑哥透露,这种“应用克隆”属于紧急(最高等级)级别的漏洞威胁,被攻击者在受到攻击之后甚至很难察觉,危害极大,而随移动应用在多年后应用的更加广泛,其危害性也早已今非昔比。现在手机 操作系统本身对漏洞攻击已有较多防御措施,所以一些安全问题常常被APP厂商和手机厂商忽略。而只要对这些貌似威胁不大的安全问题进行组合,就可以实现“应用克隆”攻击。这一漏洞利用方式一旦被不法分子利用,就可以轻松克隆获取用户账户权限,盗取用户账号及资金等。
发布会现场以支付宝APP为例展示了“应用克隆”攻击的效果:在升级到最新安卓8.1.0的手机上,利用支付宝APP自身的漏洞,“攻击者”向用户发送一条包含恶意链接的手机短信,用户一旦点击,其支付宝账户一秒钟就被“克隆”到“攻击者”的手机中,然后“攻击者”就可以任意查看用户账户信息,并可进行消费。但必须强调的是,目前支付宝在最新版本中已修复了该“漏洞”。
TK教主讲解“应用克隆”原理模型
据介绍,“应用克隆”对大多数移动应用都有效。而此次发现的“漏洞”至少涉及国内安卓应用市场十分之一的APP,如支付宝、携程、饿了么等多个主流APP均存在“漏洞”,所以该漏洞几乎影响国内所有安卓用户。在发现这些“漏洞”后,腾讯安全玄武实验室按照相关法律法规要求已向有关部门通报了相关信息,并给出了修复方案,避免该“漏洞”被不法分子利用。
黑哥表示,在不同的平台,不同场景、环境之下,攻击手段也不尽相同,这考验的是开发人员对全平台、全系统的安全认知,而现实中很难有人面面俱到,或者可能因为开发周期短而忽视了其中的安全问题,或者是整个生态也还无意识的某个环节上的新安全问题出现,知道创宇在国内网站云防御领域独树一帜的同时,目前更面向移动应用推出相关的渗透测试服务,内容包含安卓应用、iOS应用以及微信服务号、小程序等,将以第三方视角全面帮忙厂商解决移动应用后期的安全性问题。
相关文章
- 中国11月手机出货量增34% 5G手机出货量2709.2万部
2023-12-28 19:27:57
- 荣耀发布新一代旗舰荣耀Magic5系列,新款上市价格分期0首付3999元起
2023-03-06 16:12:32
- 美国商务部指违禁,长江存储被美国拜登制裁名单面临停工裁员
2023-02-17 18:41:53
- 苹果Apple iOS车载系统CarPlay支持哪些更多汽车品牌
2023-02-02 17:33:27
- 香港去哪买三星手机回来吗? 买香港便宜售价手机市场地点和网站
2023-02-02 11:03:11
- 华为保时捷最新款2022多少钱?Mate50系列和MateRS保时捷限量版4G手机官方价上市
2022-09-18 00:36:54
- 伊朗用什么手机市场盘点:Samsung、华为占据绝对优势
2022-09-15 13:49:56
- 新版iOS16.1发布新功能 iPhone手机全系支持电量百分比
2022-09-15 10:49:56
- Sony Xperia1和Xperia 5手机正式升级Android 最新官方更新系统新功能内容介绍
2022-09-12 12:08:05
- iPhoneX中国上市首发5小时卖出550万部 最初售价8388元
2022-09-11 22:07:48
- 如何直接下载油管youtube视频影片分享呢?youtube上面的视频怎么下载下来
2022-09-10 01:27:53
- 苹果原装iPhone充电器序列号怎么查是不是正品 不是原装的对手机有影响吗
2022-09-07 10:27:30
- 苹果美版iPhone XR手机价格多少钱 美国官网上市和最新市场报价与国行XR对比
2022-09-06 17:00:11
- 懂车帝经销商系统卖车通经销商家版登录入口网址 懂车帝怎下载经销商懂车帝合作
2022-09-01 13:19:53
- 尺寸最大的电子书阅读器 电子书阅读器有必要买吗
2022-08-27 01:33:16
- 三星galaxy s20+手机最初刚上市时间及价格 请问三星s20是哪一年上市的
2022-08-27 01:32:10
- GoogleI/O大会国际版网红直播SuperChat平台下载地址,神似陌陌
2022-08-27 01:07:38
- 荣耀HONOR 20青春版手机评测 Lite手机多少钱
2022-08-25 23:25:08
- 手机店苹果卡针多少钱?万万没想到 苹果官方原装SIM卡针卖26元贵的刚刚好
2022-08-18 16:05:50
- iPhoneX全屏幕尺寸有多大?三款iPhone新机尺寸对比
2022-08-17 13:11:25