1月9日,腾讯汇。
下午3点的腾讯安全有一场发布会,不到2点,主要演讲人腾讯玄武实验室负责人 TK(于旸) 已经到位,知道创宇404Team的老大黑哥(周景平)也现身了。
会前,据知道创宇一位市场部人士向雷锋网(公众号:雷锋网)宅客频道透露,黑哥几年前发现了一个漏洞,报给了谷歌,但是谷歌没搭理他。
“是一点回音都没有吗 ?”雷锋网宅客频道问。
“是,好像是说谷歌觉得可能不是它那边的责任。”该人士说。
下午3点25分,原计划开始的发布会还没开始。
腾讯方面同时传来了信息::腾讯玄武实验室上报了一个重大漏洞,这属于一个应用克隆的漏洞,腾讯方面还提出了漏洞利用方法。
这也透露了一个信息,这个漏洞应该是影响安卓系统的多款应用,不然工信部领导不会来站台。
3点半左右,发布会开始,悬念揭晓。
在手机上点击一个网站链接,你可以看到一个看上去正常的支付宝抢红包页面,但噩梦从你点击链接就开始——此时你的支付宝的信息全部可以在攻击者的机器上呈现,攻击者借此完全可以用你的支付宝消费。
你一无所知。
这是当前利用漏洞传递恶意代码的一种典型方式。TK称,在手机上点击恶意链接,有漏洞的应用就会被完全控制。
这是一种“应用克隆”漏洞攻击。
有意思的是,整套攻击中涉及的风险点其实都是已知的。2013年3月,黑哥在他的博客里就提到了这种风险。
TK 称,多点耦合产生了可怕漏洞,所谓多点耦合,是A点看上去没问题,B点看上去也没问题,但是A和B组合起来,就组成了一个大问题。
说白了,是一个系统的设计问题。
移动设备普遍使用了可信计算、漏洞缓解、权限隔离等安全技术,但移动技术自身的各种特点又给安全引入了更多的新变量,新产量可能耦合出新风险。
这种应用克隆漏洞就是这种类型的漏洞。目前,支付宝该漏洞已修复。
黑哥介绍,其实在2012年3月,他就已经形成了克隆攻击的思路。当时他新买了台设备,发现微博数据移到另外一台手机上,手机上会自动完成登陆的过程。发现问题后,他再次进行测试,然后将漏洞详情报给了安卓官方,但是谷歌连邮件都没回复。
黑哥一怒之下在博客上进行发布,但谷歌方面现在依然没有完全修复该漏洞。
在发布会现场,TK 发布了演示视频,实现了克隆账户和窃取用户照片的攻击效果。
目前,据腾讯方面的研究,市面上 200 多款安卓应用中,27款 App 有此漏洞。漏洞列表及影响如下,其中18个可被远程攻击,9个只能从本地攻击。2017年12月7日,腾讯将27个漏洞报告给了国家信息安全漏洞共享平台(cnvd) ,截止到2018年1月9日,有11个 App 进行了修复,但其中3个修复存在缺陷。
国家互联网应急中心(CNCERT)网络安全处副处长李佳介绍,支付宝、百度外卖、国美等已经就该漏洞进行反馈,截止到昨天,还未收到京东到家、虎扑等十家厂商的反馈。
以下为TK 和黑哥的采访记录,雷锋网略有删减和整理。
1.什么时候发现的这些漏洞?
TK:我们今天看到影响的是若干款 App ,其实整个发现是陆陆续续的一个过程,不是一次性的一个过程。最初发现就是去年年底。
2.厂商怎么修补?
TK:漏洞本身是我们发现的,我们发现后及时通报给了国家相关的主管部门,然后通过主管部门去通知应用厂商修补。
3.针对支付宝,有实际攻击案例吗?
TK:没有,至少我们没有知道的案例。虽然有可能通过这种途径发起攻击,但是我们并不知道是否有人真的有发起这种攻击。
4.普通用户可以防范吗?
黑哥:普通用户防范的问题还是比较头疼的,刚才的视频演示也只是一个场景,第一个视频中,攻击者发了一个短信,让你去点,还有一种场景是可以扫一个二维码,也是诱使你访问一个网页。其实对于一些普通用户来说,首先别人发给你的链接,少点,不太确定的二维码,不要扫一扫。最重要的一点是,关注官方的升级,包括操作系统和 App 的官方升级。
TK:如果用户今天打开你的手机,然后把这些已经修复的 App 升级到最新版,其实就已经不再受这些漏洞的影响了。
5.这里的多点耦合到底是什么意思?
TK:多点耦合不是一个漏洞,是一种思路。举一个例子,你可能想跟踪一个人,但是你跟踪这一个人,可能你只掌握他一方面的信息是比较困难的,如果你只掌握了他鞋子的品牌和尺寸,可能不能精确定位一个人。如果把一个人的各方面特征放在一起时,可以形成综合性的准确判定,但整体的判定是由一系列的细节形成的。
刚才讲的今天大家看到的展示里,最终大家看到的我们控制应用产生的效果是克隆这种方式。要用这个漏洞去实现克隆,这个漏洞本身是由多个耦合点形成的漏洞,和克隆结合起来也成了耦合整个链条中的环节,成了齿轮中的一个,最终达到了这样一整套的东西。
6.你第一次是向谷歌提交的,这意味着其实有通过官方版安卓系统修复的可能性吗?
黑哥:我们做漏洞攻防研究的首先是攻,对于个人来说,在发现攻击方式的时候更多的想到的是攻,至于这个问题到底要谁解决,最起码那个时候没有想那么多。只是说这个东西很普遍,或许在操作平台系统上面有对应的防御机制能够做这种东西。但是这种设计上的,说缺陷或者是个性也好,设计上的问题要在操作层面系统去解决的话,他们(编者注:指谷歌)也很头痛。
即使你把这个问题解决了,说不定还有其他的问题,需要不停地改架构之类。就算把安全问题解决了,会不会给用户的性能带来一些问题?例如,这两天 CPU 的漏洞。很多人还在思考,操作系统修复漏洞时会降低用户的 CPU 使用率。它会降低性能,这样很多人就会去思考,这个漏洞打的补丁到底是打还是不打?很多问题没有一个明确的答案。
安卓厂商有可能比较积极一点的是,认可这确实是一个大问题,而且是普遍存在的。有可能做得比较好一点的厂商会来一个提示,或者安卓厂商认为在不影响其他用户使用的功能和性能下,有必要修复,厂商可以做修补,但大平台考虑的问题更多,不完全是安全性的问题。
。
原创文章,作者:Maggie-Hunter,如若转载,请注明出处:https://blog.ytso.com/112088.html