安卓应用存在被“克隆”风险 腾讯玄武实验室提供援救行动

2018年01月10日10:51  来源:人民网-深圳频道
 

  误点恶意链接,安卓手机里的APP瞬间就被“克隆”,个人信息以及资金安全完全失控。1月9日,腾讯安全玄武实验室与知道创宇404实验室联合对外公布,国内十分之一的安卓应用存在漏洞,容易被进行“应用克隆”攻击。

玄武实验室以支付宝APP为例展示“应用克隆”攻击效果。

  “应用克隆”影响范围涉及国内主流APP,腾讯安全公布“玄武支援计划”

  腾讯安全玄武实验室负责人于旸介绍,现在手机操作系统本身对漏洞攻击已有较多防御措施,所以一些安全问题常常被APP厂商和手机厂商忽略。而只要对这些貌似威胁不大的安全问题进行组合,就可以实现“应用克隆”攻击。这一漏洞利用方式一旦被不法分子利用,就可以轻松克隆获取用户账户权限,盗取用户账号及资金等。

  发布会现场,玄武实验室以支付宝APP为例展示“应用克隆”攻击的效果:在升级到最新安卓8.1.0的手机上,利用支付宝APP自身的漏洞,“攻击者”向用户发送一条包含恶意链接的手机短信,用户一旦点击,其支付宝账户一秒钟就被“克隆”到“攻击者”的手机中,然后“攻击者”就可以任意查看用户账户信息,并可进行消费。目前,支付宝在最新版本中已修复该漏洞。

  据介绍,“应用克隆”对大多数移动应用都有效。而玄武实验室此次发现的漏洞至少涉及国内安卓应用市场十分之一的APP。在发现这些漏洞后,腾讯安全玄武实验室通过国家互联网应急中心向厂商通报相关信息,并给出修复方案,避免该漏洞被不法分子利用。

  发布会上,国家互联网应急中心网络安全处副处长李佳对腾讯安全玄武实验室所做的工作表示感谢。国家信息安全漏洞共享平台在获取到漏洞的相关情况之后,安排相关的技术人员对漏洞进行验证,并且也为漏洞分配漏洞编号(CVE201736682),于2017年12月10号向27家具体的APP发送点对点的漏洞安全通报,同时提供漏洞的详细情况以及建立修复方案。

  考虑到该漏洞影响的广泛性,以及配合“应用克隆”攻击模型后的巨大威胁,腾讯安全玄武实验室现场发布“玄武支援计划”。于旸表示,由于对该漏洞的检测无法自动化完成,必须人工分析,玄武实验室无法对整个安卓应用市场进行检测,所以通过此次新闻发布会,希望更多的APP厂商关注并自查产品是否仍存在相应漏洞,并进行修复。对用户量大、涉及重要数据的APP,玄武实验室也愿意提供相关技术援助。

  适应网络安全发展新趋势 腾讯安全首倡 “移动安全新思维”

  更值得关注的是,于旸在此次报告中首次提出安全厂商要建立“移动安全新思维”,用移动思维来思考移动安全,来适应新的移动互联网安全发展趋势。在他看来,PC时代的安全思维对移动时代来说是不够的。移动设备有诸多不同于PC的特点,而移动应用也有诸多不同于传统软件的特点。在PC时代,最重要的是系统自身的安全。而移动设备系统自身的安全性比PC要高很多,但在端云一体的移动时代,最重要的其实是用户账号体系和数据的安全。而要保护好这些,光搞好系统自身安全是不够的。这使得移动时代的安全问题更加复杂多变,涉及的方面也更多。需要手机厂商、应用开发商、网络安全研究者等多方携手,共同重视。

于旸在此次报告中首次提出安全厂商要建立“移动安全新思维。

  “传统的利用软件漏洞进行攻击的思路,一般是先用漏洞获得控制,再植入后门。好比想长期进出你酒店的房间,就要先悄悄尾随你进门,再悄悄把锁弄坏,以后就能随时进来。现代移动操作系统已经针对这种模式做了防御,不是说不可能再这样攻击,但难度极大。如果我们换一个思路:进门后,找到你的酒店房卡,复制一张,就可以随时进出了。不但可以随时进出,还能以你的名义在酒店里消费。目前,大部分移动应用在设计上都没有考虑这种攻击方式。”于旸表示,移动互联网时代,安全厂商必须意识到各种新技术新设计会带来更多新问题,要用移动思维来评估每一个安全风险,才能避免最终在安全上积重难返。

  作为国际领先的安全攻防研究团队,腾讯安全玄武实验室聚集顶尖的技术人才,在很多安全领域都取得突破进展。而此次“应用克隆”漏洞利用方式的发现,也得益于玄武实验室的深厚技术储备。在不久前结束的2017年乌镇世界互联网大会上,腾讯安全玄武实验室和中国科学院计算所大数据安全组合作的“阿图因”软件空间安全测绘系统,入选大会评出的前58大“世界互联网领先科技成果”。

  腾讯安全联合实验室技术创新持续赋能六大互联网关键领域

  在此次技术研究成果发布会上,腾讯副总裁马斌发布《腾讯安全前沿技术研究白皮书》,对目前中国面临的安全形势,以及腾讯安全联合实验室在科技创新、人才建设等方面的成果进行全面盘点,并首次披露腾讯安全联合实验室成立以来的十大安全研究成果。

  作为国内首个互联网安全实验室矩阵,腾讯安全联合实验室旗下涵盖科恩、玄武、湛泸、云鼎、反病毒、反诈骗、移动安全七大实验室,实验室专注安全技术研究及安全攻防体系搭建,安全防范和保障范围覆盖连接、系统、应用、信息、设备、云六大互联网关键领域,并在车联网安全、物联网安全、人工智能、云安全、自研杀毒引擎、安全人才培养、社会责任等诸多方面取得突破进展。

  2016年,凭借“全球首次远程无物理接触方式入侵特斯拉汽车”研究成果,腾讯安全联合实验室科恩实验室获得特斯拉最高奖励及荣誉。同时,在反诈骗领域,腾讯安全反诈骗实验室携手公安部、运营商等相关合作伙伴共同推出的“守护者计划”,利用“反诈骗智慧大脑”等新技术武器,精准打击诈骗黑产,保障用户资金安全。另外,在2017年上半年的“WannaCry”“暗云Ⅲ”等病毒事件中,腾讯安全反病毒实验室、腾讯安全云鼎实验室共同针对用户网络安全、云端安全迅速制定防御方案,并开发出包括勒索病毒免疫工具、文档守护者、云镜等多款工具,第一时间降低国内用户和企业的网络安全风险。

马斌表示腾讯安全联合实验室将进一步推动互联网安全生态的快速发展。

  而作为腾讯安全七大实验室矩阵之一,此次发布“应用克隆”漏洞利用方式的玄武实验室,在业内素有“漏洞挖掘机”称号。2016年中,腾讯安全玄武实验室和腾讯安全联合实验室旗下的其他六大实验室相互配合,累计为微软、苹果、谷歌、Adobe四大国际顶尖厂商提交漏洞269个,位居国内首位。2016年5月的Adobe Reader安全公告中更是一次性包含32个玄武实验室报告的漏洞,从而创下该产品历史上单个公告中报告漏洞最多的纪录。在发现应用克隆攻击技术之前,腾讯安全玄武实验室还针对条码阅读器的“BadBarcode”研究揭示影响整个行业的存在了近二十年的重大安全隐患,得到国际安全界的广泛关注和称誉,并因此荣获WitAwards“年度最佳研究成果”奖。

  马斌表示,随着腾讯安全联合实验室在反诈骗、反病毒、漏洞安全、云安全、车联网、网络安全人才建设、技术研究等领域将持续输出能力,赋能行业、企业,将进一步推动互联网安全生态的快速发展。 

(责编:陈育柱、王星)
扫码关注我们扫码关注我们