Android StrandHogg缝隙安全公告
颁布功夫 2019-12-04缝隙编号和级别
CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定
影响版本
所有Android版本，蕴含Android10*
缝隙概述
近日，挪威专业利用安全�；す綪romon的安全钻研人员暗示，他们发现了Android操作系统中的一个缝隙，该缝隙使恶意利用能够劫持合法法式，从而使黑客能够接见个人短信和照片，窃取受害者的登录痛处，跟踪地位或纪录电话对话，甚至能够通过手机摄像头和麦克风进行监督。他们将该缝隙定名为StrandHogg，这是北欧人的一种北欧海盗战术，袭击沿海地域打劫并扣押赎金。
StrandHogg攻击不必要root接见权限即可运行，目前已经有至少36个利用此缝隙的恶意利用，其中蕴含最早在2017年观察到的BankBot银行木马的变种。这36个利用法式已作为第二阶段的有效负载装置在用户的设备上。用户最初从Play商店装置了其他恶意利用法式，而后又下载了受StrandHogg习染的利用法式，以进行更具侵入性的攻击。
Promon钻研人员还测试了Google Play商店中可用的前500个最盛行的Android利用法式，发现能够通过StrandHogg攻击劫持所有利用法式的过程以执行恶意操作。
缝隙验证
在表表上，StrandHogg是Android操作系统处置在处置分歧操作或利用法式的工作（过程）之间切换的方式中的谬误。更具体地说，StrandHogg是OS组件中的一个谬误，用于处置多工作，这种机造使Android操作系统能够一次运行多个过程，并在利用法式进入或退出用户视图（屏幕）时在它们之间切换。当用户启动另一个利用法式时，通过称为“工作沉做”的职能，装置在Android智能手机上的恶意利用法式能够利用StrandHogg谬误触发恶意代码。
攻击者通过该缝隙，要求获取利用权限，或者攻击者利用类似“界面劫持”的方式，弹出垂钓界面让你输入账户密码，或者一向给你弹界面，让你退不出去，从而执行勒索财帛。
缝隙演示视频：https://promon.co/security-news/strandhogg/。
建复建议
目前厂商没有颁布缝隙补丁，不要装置来历不明的APP。
参考链接
https://promon.co/security-news/strandhogg/
京公网安备11010802024551号