安卓曝致命漏洞 360获邀参加BlackHat“会诊”安卓安全

安卓手机系统一向安全问题多多。近日，以色列移动信息安全公司Zimperium研究人员约舒亚·德雷克（Joshua Drake）在安卓系统的核心组成部分Stagefright中发现了一处安全漏洞，影响当前约95%的安卓设备。只需简单的一条彩信，黑客就可能完全控制用户手机。

据了解，该漏洞存在于“Stagefright”中。Stagefright是一个安卓代码库，处理集中广泛使用的媒体格式。该漏洞的可怕之处在于，用户根本不需要采取任何行动就会中招。这个漏洞在用户睡着的时候就可触发，用户一觉醒来之后不会发生任何异常，攻击者会删除掉设备被攻陷的任何痕迹，然后用户就会像平常一样过日子——只不过手中的手机变成了一部木马手机。

目前，谷歌已经发表声明承认了上述漏洞的存在，并将漏洞补丁提供了部分合作伙伴设备厂商。但遗憾的是，德雷克预计，由于安卓更新较慢，当前超过95%的安卓设备依然受Stagefright漏洞的影响。即使在谷歌自家的Nexus系类设备中，目前也只有Nexus6接收到了部分补丁。

德雷克透露，这个漏洞还可通过其它技术手段利用，包括诱骗用户访问恶意站点等。德雷克将计划在下月举行的黑帽大会（BlackHat Security Conference）上以“Stagefright：安卓心脏中的恐怖代码”为题公布另外六种技术手段。

事实上，随着安卓成为全球最流行的移动操作系统，黑客和安全人员也日益将关注重点放在安卓上，企图为用户带来更加安全的系统。即将举行的黑帽大会上，除了德雷克的议题之外，来自360手机卫士安全研究团队也有两个安卓相关议题入选，分别是“TrustZone安全攻防”和“通过挖掘Android系统服务漏洞提权”。

360手机卫士安全研究团队的申迪将向全球黑客介绍有关Android系统TrustZone安全攻防的研究成果，并且现场演示从传感器中读取指纹识别数据的攻击利用，这指纹识别正在成为手机的一个热门安全配置。

而360手机卫士安全研究团队的龚广则会介绍如何利用Android中最为薄弱的系统服务做突破口，使用自己发现的漏洞来获得Android系统服务权限，龚广已经发现了8个类似的Android系统漏洞以及数十个系统服务崩溃，发现的8个漏洞都已提交给Google，并获得其承认与独有的CVE号。