科技网

当前位置: 首页 >IT

腾讯安全玄武实验室国内主流安卓app存在朝

IT
来源: 作者: 2019-02-23 15:39:42

腾讯安全玄武实验室将“应用克隆”这一移动攻击威胁模型正式对外披露。腾讯安全玄武实验室负责人于旸表示,该攻击模你依然会觉得不满足型是基于移动应用的一些基本设计特点导致的,所以几乎所有移动应用都适用该攻击模型。在这个攻击模型的视角下,很多以前认为威胁不大、厂商不重视的安全问题,都可以轻松“克隆”用户账户,窃取隐私信息,盗取账号及资金等。

腾讯安全玄武实验室国内主流安卓app存在朝

基于该攻击模型,安全玄武实验室以某个常被厂商忽略的安全问题进行检查,在200个移动应用中发现27个存在漏洞,比例超过10%。在发现这些漏洞之后,腾讯安全玄武实验室通过CNCERT向厂商报告了相关漏洞,并提供了修复方法。

于旸介绍,在玄武安全研究团队研究过程中,发现由于现在操作系统本身对漏洞攻击已有较多防御措施,所以一些安全问题常常被app厂商和厂商但要尽心忽略。而只要对这些貌似威胁不大的安全问题进行组合,就可以实现“应用克隆”攻击。这一漏洞利用方式一旦被不法分子利用,就可以轻松克隆获取用户账户权限,盗取用户账号及资金等。

玄武实验室以支付宝app为例展示了“应用克隆”攻击的效果:在升级到最新安卓8.1.0的上,利用支付宝app自身的漏洞,“攻击者”向用户发送一条包含恶意链接的短信,用户一旦点击,其支付宝账户一秒钟就被“克隆”到“攻击者”的中,然后“攻击者”就可以任意查看用户账户信息,并可进行消费。目前,支付宝在最新版本中已修复了该漏洞。

据介绍,敬畏尊重生命“应用克隆”对大多数移动应用都有效。而玄武实验室此次发现的漏洞至少涉及国内安卓应用市场十分之一的app,如支付宝、携程、饿了么等多个主流app均存在漏洞,所以该漏洞几乎影响国内所有安卓用户。

考虑到该漏洞影响的广泛性,以及配合“应用克隆”攻击模型后的巨大威胁,腾讯安全玄武实验室现场发布了“玄武支援计划”。于旸表示,由于对该漏洞的检测无法自动化完成,必须人工分析,玄武实验室无法对整个安卓应用市场进行检测,所以通过此次发布会,希望更多的app厂商关注并自查产品是否仍存在相应漏洞,并进行修复。对用户量大、涉及重要数据的app,玄武实验室也会提供相关技术援助。

N软公众号扫一扫 观点新鲜独到,有料有趣,有互动、有情怀、有福利!关注科技,关注N软,让我们生活更加美好!

单身父亲 把蹩脚当作高大上,你之所以不死,是因为现在还没有一个同样的app从窒息的环境中生长出来。明明无比臃肿和死难用,非要说很简洁方便。用”已读“”上线离线“这些煞笔要求来掩盖真正的缺陷,自欺欺人。

研究所有限公司
电厂发电原理报价
防火酚醛树脂板报价

相关推荐