小米手機內建的App暗藏安全漏洞

分類: 軟體 新品報導   4/12/2019   Check Point


Check PointR Software Technologies Ltd. (NASDAQ股票代碼:CHKP)的研究人員近日在小米手機內建的App「Guard Provider」中發現了一個漏洞;小米Guard Provider本意是透過檢測惡意軟體來保護手機,實際上卻讓使用者暴露在了威脅之中。根據Gartner統計,2018年小米市占率近8%,在全球手機市場排名第四。

小米Guard Provider是內建在所有主流小米手機中的App,其安全服務使用了多個協力廠商軟體開發套件(SDK),包括各種類型的裝置保護、清理、效能加速。該App內建了Avast、AVL和騰訊三個不同品牌的防毒軟體來保護手機,使用者可以選擇其中一個品牌的產品作為掃描裝置的預設防毒軟體。


由於進出Guard Provider的網路流量不安全,且同一個App中使用了多個SDK,攻擊者可以連接到與受害者相同的Wi-Fi網路,並執行中間人(Man-in-the-Middle,MiTM)攻擊;而多個SDK之間的通訊隔閡,也讓攻擊者可以趁機自行植入任何惡意程式碼,例如密碼竊取程式、勒索軟體、追蹤程式或任何其他類型的惡意軟體。

類似Guard Provider這類型內建於行動裝置的App都是無法刪除的,但在Check Point向小米告知這個漏洞後,小米也即時的修補了該漏洞。

SDK的優缺點

就行動裝置而言,SDK可以協助開發人員不需要再花費時間撰寫程式,並為與App核心無關的功能提供後端穩定性。隨著各式SDK的出現,多元的新功能讓App開發人員得以提供終端使用者更優異的特性,但隨著越來越多的協力廠商程式碼添加到App中,對於穩定工作、使用者資料的保護及效能控制的環境變得益發複雜。

在同一個App中使用多個SDK造成了「SDK 疲勞(SDK Fatigue)」現象,導致App更容易出現當機、病毒和惡意軟體感染、隱私外洩、極度耗電、速度變慢及許多其他問題。統計[1]指出,在單一App中使用多個SDK非常常見,平均每個App會使用超過18個SDK,但這種做法讓企業組織和使用者暴露在潛在風險中,攻擊者可以利用這些漏洞來干擾裝置的日常運行。

如何抵禦與預防SDK攻擊

對於安裝到員工裝置上的App,企業組織的IT安全人員雖然不必了解構建這些應用時所用 SDK 的精確細節,但應該意識到這種App的建構方式可能存在安全隱憂。人們常常認為安全App中使用的要素都是安全的,但上述小米內建App漏洞顯示事實並非如此。開發人員和企業都需要意識到,在一個手機App中內建兩種安全軟體並不一定會取得雙重保險的效果。

抵禦這種隱藏威脅的唯一措施是確保企業組織內的行動裝置免受潛在的中間人攻擊,而Check Point SandBlast Mobile可以檢測並防止此類攻擊,消除因在同一App中使用多個SDK 而造成的潛在威脅。更多相關資訊,請見Check Point Research。


相關文章:

Check Point發現Windows DNS潛藏17年的安全漏洞  [7/21/2020]
駭客能夠透過燈泡攻擊企業和家庭網路  [2/11/2020]
WiFi 數位相機可能遭勒索和惡意軟體攻擊  [8/14/2019]
駭客利用《冰與火之歌:權力遊戲》引發一系列惡意詐騙活動  [5/8/2019]
[「擇法善思林之蘭室藏津」的緣起]
山形閣與日本KAMEYA HOTEL今(3)日結盟 譜寫台日溫泉飯店體驗新篇章
出口傳產活起來關鍵 東鋼:台灣需爭取1字頭稅率
美越對等關稅出爐 中鋼住金越南幾乎不銷美
直擊TWICE娜璉降臨高雄!近千人盛大接機 男粉突破人群遞信嚇壞她
「蘇大媽男版」求職式勒索 台南市勞工局回應了
金價漲詐團結合時事行騙 豐原五口命案疑遇黃金投資詐騙釀憾事
台商回台投資再開增聘移工大門 勞動部:過去6年僅增1700移工
被抹黑開課斂財又遭影射!寇乃馨發聲喊冤闢謠
中職》明強碰17連勝強投 兄弟要避免相隔6年的洪總夢魘
鑫科靶材今年銷售看增2成 FOPLP產品逐步回溫
新莊廟街華麗變身!5在地老店升級潮流打卡商家
中職》「右打外野手」0打席 統一獅的獨特風景
成立50年不上市零虧損 旭榮二代曝「戰略選擇」
養女任排灣族大頭目逾50年 遭族人要求撤銷身分被法院打臉
小紅書未使用仍可抓取手機資料 劉世芳令內政部全面刪除5中製App
[擇法善思林之蘭室藏津]