今天,Palo Alto Networks Unit 42研究人员发布了关于影响Google Android平台的新型高严重性漏洞的详细信息。2017年9月Android安全公告中提供了用于修复该漏洞的补丁。这种新型漏洞不会影响最新版本Android 8.0 Oreo,但会影响所有之前的Android版本。某些恶意软件会通过本文列出的一些途径进行漏洞利用,但Palo Alto Networks Unit 42目前并未发现针对这一特定漏洞进行的任何攻击。由于Android 8.0版本相对较新,这意味着几乎所有Android用户都应立即采取行动,安装针对此漏洞的更新。
我们的研究人员发现利用该漏洞能够更容易发起“覆盖攻击”,这是一种针对Android平台的已知攻击类型。此类攻击最有可能用于在用户的Android设备上安装恶意软件,还可用于使恶意软件完全控制设备。在最坏的情况下,该漏洞可导致手机无法使用(即“变砖”)或安装任意恶意软件,包括但不限于勒索软件或信息窃取程序。简单说来,该漏洞可用于控制、锁定被攻击设备并在之后窃取信息。
在“覆盖攻击”中,攻击者的应用会在设备上运行的其他窗口和应用上绘制(或者说“覆盖”)一个窗口。如果得逞,则攻击者将会诱骗用户,使其将自己点击的入侵窗口当作正常窗口。在图1的示例中,攻击者让用户以为自己是在通过单击来安装补丁,但实际上用户单击后会授予Porn Droid恶意软件对设备的完全管理员权限。
图1:伪造的补丁安装程序下所覆盖的恶意软件正在请求获取管理权限
您可以看到这种攻击是如何诱骗用户无意中在设备上安装恶意软件的。它还可用于授予恶意软件对设备的完全管理权限。
覆盖攻击也可通过在设备上显示无法关闭的窗口,从而创造拒绝服务条件。这正是攻击者在移动设备上发起勒索软件攻击所使用的方式。
当然,覆盖攻击可在一次攻击中实现以下三个目的:
覆盖攻击并不是新生事物,此前就已经引起过人们的关注。但在此之前,根据IEEE安全与隐私期刊中的最新研究结果,所有人都认为试图发起覆盖攻击的恶意应用要想成功,必须克服两大障碍:
这些都是重要的缓解因素,正因如此,覆盖攻击并没有被视为严重威胁。
但是,我们新的Unit 42研究显示,有一种途径可以绕过这些缓解因素发起覆盖攻击。我们的研究人员发现,如果恶意应用利用这个新漏洞,那么它只需安装在设备上即可发起覆盖攻击。特别是,这意味着来自网站和除Google Play之外的其他应用商店的恶意应用均可发起覆盖攻击。值得注意的是,来自网站和除Google Play之外的其他应用商店的应用是全球Android恶意软件的重要来源。
其中一个特定漏洞可影响名为“Toast”(吐司)的Android功能。“Toast”是一种在屏幕上“弹出”(就像烤吐司一样)的通知窗口。“Toast”通常用于在其他应用之上显示消息和通知。
与Android中的其他窗口类型不同,Toast不需要相同的权限,因此适用于以前的覆盖攻击的缓解因素在此并不适用。此外,我们的研究人员也已概述了如何创建覆盖整个屏幕的Toast窗口,因此使用Toast创建与常规应用窗口功能相同的窗口是可能的。
根据这项最新研究,覆盖攻击的风险便具有更高的严重性。幸运的是,最新版本的Android从一开始即可免受这些攻击的影响。但是,大多数使用旧版本Android的用户却容易受到攻击。这意味着对于所有使用8.0之前版本的Android用户来说,更新设备至关重要。您可以从移动运营商和手机制造商处了解关于补丁和更新可用性的信息。
当然,防范恶意应用最好的途径之一就是仅从Google Play安装Android应用,因为Android安全团队始终积极筛选恶意应用并从一开始就将其排除在商店之外。
好文章,需要你的鼓励
研究人员正探索AI能否预测昏迷患者的医疗意愿,帮助医生做出生死决策。华盛顿大学研究员Ahmad正推进首个AI代理人试点项目,通过分析患者医疗数据预测其偏好。虽然准确率可达三分之二,但专家担心AI无法捕捉患者价值观的复杂性和动态变化。医生强调AI只能作为辅助工具,不应替代人类代理人,因为生死决策依赖具体情境且充满伦理挑战。
MWS AI联合ITMO大学提出CoSpaDi技术,通过稀疏字典学习实现大型语言模型高效压缩。该方法突破传统低秩分解限制,为不同知识类型提供定制化存储方案,在20%-50%压缩比例下显著优于现有方法。支持跨层字典共享和数据感知优化,兼容量化技术,为移动设备和边缘计算部署大模型提供实用解决方案。
麻省理工学院研究发现过度依赖AI会导致认知债务,削弱基本思维能力。研究表明交替进行无辅助思考和AI支持工作的模式能保持认知敏锐度。这种认知高强度间歇训练模仿体能训练中的HIIT模式,通过短时间高强度思考与恢复期交替进行,可以强化大脑神经回路,防止认知衰退,提升独立思考能力。
莫斯科大学团队开发的TUN3D系统实现了重大技术突破,首次让普通相机拍摄的照片就能准确识别房间结构和物体位置。该系统无需专业3D扫描设备或精确位置信息,仅用手机拍摄的多角度照片即可重建完整3D场景模型。在多个标准数据集测试中均达到最佳性能,为房地产、室内设计、电商等领域带来革命性应用前景。