8月8日消息，據(jù)國(guó)外媒體報(bào)道，研究人員發(fā)現(xiàn)谷歌Android移動(dòng)操作系統(tǒng)軟件有一個(gè)設(shè)計(jì)漏洞。犯罪分子利用這個(gè)漏洞能夠通過(guò)釣魚(yú)攻擊竊取用戶(hù)數(shù)據(jù)，廣告商利用這個(gè)漏洞能夠向手機(jī)發(fā)送討厭的彈出式廣告。
Trustwave高級(jí)高級(jí)副總裁兼SpiderLabs實(shí)驗(yàn)室負(fù)責(zé)人Nicholas Percoco在DefCon黑客會(huì)議上發(fā)表這項(xiàng)研究成果之前稱(chēng)，開(kāi)發(fā)人員能夠創(chuàng)建表面上無(wú)害的應(yīng)用程序。當(dāng)用戶(hù)正在使用合法的銀行應(yīng)用程序的時(shí)候，這個(gè)應(yīng)用程序顯示一個(gè)假冒的銀行應(yīng)用程序登錄頁(yè)。
目前，要與用戶(hù)進(jìn)行溝通的應(yīng)用程序在發(fā)現(xiàn)不同的應(yīng)用程序的時(shí)候會(huì)在顯示屏上面的工具條中發(fā)出警告。但是，Android軟件開(kāi)發(fā)工具中的應(yīng)用程序編程接口能夠用來(lái)把一個(gè)應(yīng)用程序推向前臺(tái)。
Trustwave的安全套階層(SSL)開(kāi)發(fā)人員Sean Schulte稱(chēng)，Android允許用戶(hù)取消點(diǎn)擊返回按鈕的標(biāo)準(zhǔn)。因此，這個(gè)應(yīng)用程序能夠竊取這個(gè)重點(diǎn)。用戶(hù)不能點(diǎn)擊返回鍵退出。研究人員把這個(gè)漏洞稱(chēng)作重點(diǎn)竊取安全漏洞。
研究人員創(chuàng)建了一個(gè)概念證明工具。這個(gè)工具是一款游戲，但是，能夠顯示假冒的Facebook、亞馬遜和谷歌語(yǔ)音等應(yīng)用程序。這個(gè)工具在安裝自己的時(shí)候是以作為合法的應(yīng)用程序的一部分安裝的并且注冊(cè)為一項(xiàng)服務(wù)。因此，在手機(jī)起到之后，這個(gè)程序就恢復(fù)了。
在演示中，這些假冒的網(wǎng)頁(yè)完全取代了合法的網(wǎng)頁(yè)，因此，用戶(hù)看不出什么區(qū)別。
Percoco稱(chēng)，由于這個(gè)設(shè)計(jì)漏洞，游戲或者應(yīng)用程序開(kāi)發(fā)人員能夠創(chuàng)建有針對(duì)性的彈出式廣告。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開(kāi)微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。