騰訊安全玄武實(shí)驗(yàn)室發(fā)布“玄武支援計(jì)劃” 應(yīng)對(duì)“應(yīng)用克隆”威脅

• 2018年1月10日 ZhangHongYuan來(lái)源：TechWeb.com.cn 1137 73
• 繁體

• 

  2018-2023年中國(guó)匯接局交換機(jī)市場(chǎng)深度全景調(diào)研及“十三五”發(fā)展前景預(yù)測(cè)報(bào)告

  在現(xiàn)代市場(chǎng)經(jīng)濟(jì)活動(dòng)中，信息已經(jīng)是一種重要的經(jīng)濟(jì)資源，信息資源的優(yōu)先占有者勝，反之則處于劣勢(shì)。中國(guó)每年有近百萬(wàn)家企業(yè)倒閉，對(duì)于企業(yè)經(jīng)營(yíng)而言，因?yàn)槭д`而出局，極有可能意味著從此退出歷史...

考慮到該漏洞影響的廣泛性，以及配合“應(yīng)用克隆”攻擊模型后的巨大威脅，騰訊安全玄武實(shí)驗(yàn)室現(xiàn)場(chǎng)發(fā)布了“玄武支援計(jì)劃”。

1月10日消息，騰訊安全玄武實(shí)驗(yàn)室昨日與知道創(chuàng)宇404實(shí)驗(yàn)室聯(lián)合召開技術(shù)研究成果發(fā)布會(huì)，正式對(duì)外披露“應(yīng)用克隆”這一移動(dòng)攻擊威脅模型。

騰訊安全玄武實(shí)驗(yàn)室負(fù)責(zé)人于旸表示，該攻擊模型是基于移動(dòng)應(yīng)用的一些基本設(shè)計(jì)特點(diǎn)導(dǎo)致的，所以幾乎所有移動(dòng)應(yīng)用都適用該攻擊模型。在這個(gè)攻擊模型的視角下，很多以前認(rèn)為威脅不大、廠商不重視的安全問(wèn)題，都可以輕松“克隆”用戶賬戶，竊取隱私信息，盜取賬號(hào)及資金等?；谠摴裟Ｐ?，騰訊安全玄武實(shí)驗(yàn)室以某個(gè)常被廠商忽略的安全問(wèn)題進(jìn)行檢查，在200個(gè)移動(dòng)應(yīng)用中發(fā)現(xiàn)27個(gè)存在漏洞，比例超過(guò)10%。

在發(fā)現(xiàn)這些漏洞之后，騰訊安全玄武實(shí)驗(yàn)室通過(guò)CNCERT向廠商報(bào)告了相關(guān)漏洞，并提供了修復(fù)方法。但考慮到相關(guān)問(wèn)題影響之廣，難以將相關(guān)信息逐個(gè)通知給所有移動(dòng)應(yīng)用開發(fā)商，所以通過(guò)新聞發(fā)布會(huì)希望更多移動(dòng)應(yīng)用開發(fā)商了解該問(wèn)題并進(jìn)行自查。同時(shí)，玄武實(shí)驗(yàn)室將提供“玄武支援計(jì)劃”協(xié)助處理。同時(shí)于旸還指出，移動(dòng)互聯(lián)網(wǎng)時(shí)代的安全形勢(shì)更加復(fù)雜，只有真正用移動(dòng)思維來(lái)思考移動(dòng)安全，才能正確評(píng)估安全問(wèn)題的風(fēng)險(xiǎn)。

于旸介紹，在玄武安全研究團(tuán)隊(duì)研究過(guò)程中，發(fā)現(xiàn)由于現(xiàn)在手機(jī)操作系統(tǒng)本身對(duì)漏洞攻擊已有較多防御措施，所以一些安全問(wèn)題常常被APP廠商和手機(jī)廠商忽略。而只要對(duì)這些貌似威脅不大的安全問(wèn)題進(jìn)行組合，就可以實(shí)現(xiàn)“應(yīng)用克隆”攻擊。這一漏洞利用方式一旦被不法分子利用，就可以輕松克隆獲取用戶賬戶權(quán)限，盜取用戶賬號(hào)及資金等。騰訊安全玄武實(shí)驗(yàn)室在研究過(guò)程中還發(fā)現(xiàn)，“應(yīng)用克隆”中涉及的部分技術(shù)此前知道創(chuàng)宇404實(shí)驗(yàn)室和一些國(guó)外研究人員也曾提及過(guò)，但顯然在業(yè)界并未引起足夠重視。

在發(fā)布會(huì)現(xiàn)場(chǎng)，玄武實(shí)驗(yàn)室以支付寶APP為例展示了“應(yīng)用克隆”攻擊的效果：在升級(jí)到最新安卓8.1.0的手機(jī)上，利用支付寶APP自身的漏洞，“攻擊者”向用戶發(fā)送一條包含惡意鏈接的手機(jī)短信，用戶一旦點(diǎn)擊，其支付寶賬戶一秒鐘就被“克隆”到“攻擊者”的手機(jī)中，然后“攻擊者”就可以任意查看用戶賬戶信息，并可進(jìn)行消費(fèi)。目前，支付寶在最新版本中已修復(fù)了該漏洞。

據(jù)介紹，“應(yīng)用克隆”對(duì)大多數(shù)移動(dòng)應(yīng)用都有效。而玄武實(shí)驗(yàn)室此次發(fā)現(xiàn)的漏洞至少涉及國(guó)內(nèi)安卓應(yīng)用市場(chǎng)十分之一的APP，如支付寶、攜程、餓了么等多個(gè)主流APP均存在漏洞，所以該漏洞幾乎影響國(guó)內(nèi)所有安卓用戶。在發(fā)現(xiàn)這些漏洞后，騰訊安全玄武實(shí)驗(yàn)室通過(guò)CNCERT向廠商通報(bào)了相關(guān)信息，并給出了修復(fù)方案，避免該漏洞被不法分子利用。

考慮到該漏洞影響的廣泛性，以及配合“應(yīng)用克隆”攻擊模型后的巨大威脅，騰訊安全玄武實(shí)驗(yàn)室現(xiàn)場(chǎng)發(fā)布了“玄武支援計(jì)劃”。

于旸表示，由于對(duì)該漏洞的檢測(cè)無(wú)法自動(dòng)化完成，必須人工分析，玄武實(shí)驗(yàn)室無(wú)法對(duì)整個(gè)安卓應(yīng)用市場(chǎng)進(jìn)行檢測(cè)，所以通過(guò)此次新聞發(fā)布會(huì)，希望更多的APP廠商關(guān)注并自查產(chǎn)品是否仍存在相應(yīng)漏洞，并進(jìn)行修復(fù)。對(duì)用戶量大、涉及重要數(shù)據(jù)的APP，玄武實(shí)驗(yàn)室也愿意提供相關(guān)技術(shù)援助。

更值得關(guān)注的是，于旸在此次報(bào)告中首次提出安全廠商要建立“移動(dòng)安全新思維”，用移動(dòng)思維來(lái)思考移動(dòng)安全，來(lái)適應(yīng)新的移動(dòng)互聯(lián)網(wǎng)安全發(fā)展趨勢(shì)。在他看來(lái)，PC時(shí)代的安全思維對(duì)移動(dòng)時(shí)代來(lái)說(shuō)是不夠的。移動(dòng)設(shè)備有諸多不同于PC的特點(diǎn)，而移動(dòng)應(yīng)用也有諸多不同于傳統(tǒng)軟件的特點(diǎn)。

在此次技術(shù)研究成果發(fā)布會(huì)上，騰訊副總裁馬斌發(fā)布了《騰訊安全前沿技術(shù)研究白皮書》，對(duì)目前中國(guó)面臨的安全形勢(shì)，以及騰訊安全聯(lián)合實(shí)驗(yàn)室在科技創(chuàng)新、人才建設(shè)等方面的成果進(jìn)行了全面盤點(diǎn)，并首次披露了騰訊安全聯(lián)合實(shí)驗(yàn)室成立以來(lái)的十大安全研究成果。

馬斌表示，隨著騰訊安全聯(lián)合實(shí)驗(yàn)室在反詐騙、反病毒、漏洞安全、云安全、車聯(lián)網(wǎng)、網(wǎng)絡(luò)安全人才建設(shè)、技術(shù)研究等領(lǐng)域?qū)⒊掷m(xù)輸出能力，賦能行業(yè)、企業(yè)，將進(jìn)一步推動(dòng)互聯(lián)網(wǎng)安全生態(tài)的快速發(fā)展。

延伸閱讀

推薦閱讀

猜您喜歡