之前趨勢科技（Trend Micro）演示了隱藏在Android系統(tǒng)中的另一個漏洞，允許黑客將手機變磚。這家安全公司表示：“我們發(fā)現(xiàn)了隱藏在Android系統(tǒng)的漏洞，能夠?qū)е率謾C處于死亡狀態(tài)--黑屏狀態(tài)下沒有聲音、無法撥打電話等等。為現(xiàn)在Android系統(tǒng)再次曝光出問題來，來自安全公司Check Point的Ohad Bobrov和Avi Bashan又發(fā)現(xiàn)了一個新的漏洞—Certifi-gate。這一漏洞讓眾多安卓手機中招。

Android在近段時間的日子并不好過，在過去2周時間里，它至少被發(fā)現(xiàn)了2個嚴重漏洞?，F(xiàn)在，來自安全公司Check Point的Ohad Bobrov和Avi Bashan又發(fā)現(xiàn)了一個新的漏洞—Certifi-gate。獲悉，這兩位安全研究人員發(fā)現(xiàn)移動遠程支持工具(mRSTs)所表現(xiàn)出來的功能跟一款叫做移動遠程訪問木馬(mRATs)的惡意軟件非常相似，最大的一個區(qū)別則是前者并非出于犯罪的目的而開發(fā)。mSRTs能夠遠程訪問手機、錄制用戶輸入內(nèi)容及截圖。mRATs這款惡意軟件顯然需要用戶安裝才會發(fā)揮功效，而mSRTs卻是由OEM預(yù)裝。

存有這種現(xiàn)象的OEM有三星、HTC、LG、華為、聯(lián)想。

想要知道這個漏洞如何工作，首先我們得了解mSRTs的工作機理。由于mSRTs極富攻擊性以及擁有強大的功能，所以軟件需要獲得特別權(quán)限并由OEM簽署才行。這樣，這套工具就被分成了兩部分：用戶實際看到的軟件、提供權(quán)限的后端插件。當軟件需要獲得特別權(quán)限時，它需要連接到插件。即便沒有安裝該類型軟件的手機也可能包含這一插件。

為了讓軟件向插件發(fā)送權(quán)限請求，mSRT軟件就此誕生。商家在Android的Binder上開發(fā)了自己的認證工具，然而這些工具并沒有屬于自己的認證流程。于是問題就此產(chǎn)生。研究人員可以通過這一雙重性利用插件的強大功能獲取訪問設(shè)備的權(quán)限，在某些情況下，甚至只需要一條簡單的文本信息。

想要解決問題其實也很簡單，但卻會帶來災(zāi)難性的后果—手機變磚。當下最好的解決方案也許就是為插件和軟件之間的連接開發(fā)出一套更好的驗證系統(tǒng)。

最新評論