Android 有颗心,这颗心会流血吗?

2020年06月06日 04:33 R漾生活
Android 有颗心,这颗心会流血吗?

OpenSSL Heartbleed 漏洞让远端骇客利用窜改的封包并触发缓冲区溢位来窃取记忆体中的机密资料[1]。Heartbleed 漏洞震惊了业界,因为它能让骇客传送被窜改的 SSL heartbeat 讯息,并藉此窃取受骇网站上的机密资料。由于伺服器也能传送 heartbeat 讯息给用户端,因此恶意伺服器也能攻击用户端并窃取机密资料。我们在 Android 平台上发现某些 Android 程式含有具 Heartbleed 漏洞的 OpenSSL 函式库,而且下载次数高达 1.5 亿次。 目前 Google Play 中有 17 个号称可侦测 Heartbleed 漏洞的防毒程式,其中六种会扫描 Android 平台上的 OpenSSL 函式库,以找出漏洞。不过,这种方法并无法有效侦测出 Android 上的 Heartbleed 漏洞。除了特定 Android 版本(4.1.0-4.1.1 为主),大部分的 Android 平台都没有这样的弱点,因为他们都是使用不会受影响的 OpenSSL 函式库或已停用 OpenSSL heartbeat 功能。

不过,Android 程式经常使用自建函式库,因此会直接或间接地用到易受攻击的 OpenSSL 函式库。换句话说,即使 Android 平台本身安全无虞,骇客仍可对易受攻击的程式发动攻击,例如劫持网路连线、将程式导引至恶意伺服器,并将被窜改的 heartbeat 讯息传送到程式,以窃取机密资料。

我们研究了有安全弱点的 OpenSSL 函式库,并确认了攻击的事实,结果发现易受攻击的大多数是游戏程式,以及少数的文书应用程式。虽然游戏程式通常没有太多重要资料,但骇客仍可窃取 OAuth 代码(例如存取与更新代码)并入侵玩家帐号,如此一来,骇客就能用这些资料入侵相关的社群网站帐号,并更改设定。至于遭受 Heartbleed 漏洞攻击的办公室文书软体可能导致机密资料外洩,因此危险性较高。

在调查含有 OpenSSL 函式库安全弱点的办公室文书软体时,我们很惊讶地发现它们并不会遭受 Heartbleed 攻击。为什幺呢?经过深入探讨,我们发现这些程式不是原生码的连结有问题,就是含有无效的程式码。因此,当骇客试图启动 SSL 功能时,程式会直接用 Android 作业系统内无安全弱点的 OpenSSL 函式库,而不会用程式提供的有弱点函式库。使用原生码开发的 Android 应用程式经常会出现这种连结错误,没想到这种错误却歪打正着地降低了程式被攻击的风险。

在 Google Play 的 17 个 Heartbleed 漏洞侦测程式中,只有六个会针对装置上已安装程式检查 Heartbleed 漏洞。在这六个程式中,其中两个的检查结果显示所有已安装的程式都是安全的,包括我们确认已遭受攻击的程式、其中一个未显示任何扫描结果、另一个未扫描正确的 OpenSSL 版本,只有剩下的两个程式有进行深度检察。虽然这两个程式把某些安全程式标记为受攻击的程式,不过我们认同此份报告的有效性,因为内容提到了漏洞与连结错误。我们也发现这 17 种 Heartbleed 漏洞侦测程式中有几个是虚有其表的,不仅无法实际侦测漏洞,也不会显示侦测结果,因此充其量只是广告软体。

我们于 4 月 10 日检视了 5.4 万个 Google Play 上的应用程式(每个程式下载率都超过 10 万次),发现至少有 2.2 亿次的下载遭受 Heartbleed 漏洞攻击。我们也通知程式的开发人员与函式库厂商,告知产品有 OpenSSL Heartbleed 漏洞。幸亏大多数的开发人员与函式库厂商都很重视 Heartbleed 漏洞这个问题,并于修复后推出更新版本。至 4 月 17 日为止,遭受攻击的程式下载率已降到 1.5 亿次。

[1] CVE-2014-0160漏洞摘要

本文刊登于 Mobile Threats、Threat Intelligence、Threat Research 与 Vulnerabilities 等 FireEye 部落格。作者包括Yulong Zhang、Hui Xue与Tao Wei。 | 作者:Yulong Zhang、Hui Xue与Tao Wei

上一篇:
下一篇:

最火资讯

女人气质很重要,一旦「驼背」就爆丑!!教妳几招,马上变优雅美

女人气质很重要,一旦「驼背」就爆丑!!教妳几招,马上变优雅美

含胸驼背的学名叫上交叉综合症,是指含胸驼背圆肩,对健康并无大碍,但很影响女性的气质。含胸驼背的主要原

女人水嫩肌肤就靠它 Way 3秒检测你的肤况

女人水嫩肌肤就靠它 Way 3秒检测你的肤况

在美妆行业发达的韩国,他们把美肤产品的脑筋动到物联网上,把美妆护肤产品与物联网结合了。韩国公司 He

女人水嫩肌肤就靠它 Way 3秒检测你的肤况

女人水嫩肌肤就靠它 Way 3秒检测你的肤况

在美妆行业发达的韩国,他们把美肤产品的脑筋动到物联网上,把美妆护肤产品与物联网结合了。韩国公司 He