Android StrandHogg缝隙安全公告

颁布功夫 2019-12-04

缝隙编号和级别


CVE编号：：暂无，，危险级别：：高危，，CVSS分值：：官方未评定


影响版本


所有Android版本，，蕴含Android10*


缝隙概述


近日，，挪威专业利用安全�；；す綪romon的安全钻研人员暗示，，他们发现了Android操作系统中的一个缝隙，，该缝隙使恶意利用能够劫持合法法式，，从而使黑客能够接见个人短信和照片，，窃取受害者的登录痛处，，跟踪地位或纪录电话对话，，甚至能够通过手机摄像头和麦克风进行监督。他们将该缝隙定名为StrandHogg，，这是北欧人的一种北欧海盗战术，，袭击沿海地域打劫并扣押赎金。


StrandHogg攻击不必要root接见权限即可运行，，目前已经有至少36个利用此缝隙的恶意利用，，其中蕴含最早在2017年观察到的BankBot银行木马的变种。这36个利用法式已作为第二阶段的有效负载装置在用户的设备上。用户最初从Play商店装置了其他恶意利用法式，，而后又下载了受StrandHogg习染的利用法式，，以进行更具侵入性的攻击。


Promon钻研人员还测试了Google Play商店中可用的前500个最盛行的Android利用法式，，发现能够通过StrandHogg攻击劫持所有利用法式的过程以执行恶意操作。


缝隙验证


在理论上，，StrandHogg是Android操作系统处置在处置分歧操作或利用法式的工作（过程）之间切换的方式中的谬误。更具体地说，，StrandHogg是OS组件中的一个谬误，，用于处置多工作，，这种机制使Android操作系统能够一次运行多个过程，，并在利用法式进入或退出用户视图（屏幕）时在它们之间切换。当用户启动另一个利用法式时，，通过称为“工作重做”的职能，，装置在Android智能手机上的恶意利用法式能够利用StrandHogg谬误触发恶意代码。


攻击者通过该缝隙，，要求获取利用权限，，或者攻击者利用类似“界面劫持”的方式，，弹出垂钓界面让你输入账户密码，，或者一向给你弹界面，，让你退不出去，，从而执行勒索财帛。


缝隙演示视频：：https://promon.co/security-news/strandhogg/。


OG东方厅·(中国大陆)


修复建议


目前厂商没有颁布缝隙补丁，，不要装置来历不明的APP。


参考链接


https://promon.co/security-news/strandhogg/