 |
|
| 資料照片 |
|
騰訊移動(dòng)安全實(shí)驗(yàn)室近日發(fā)布的《2013年上半年手機(jī)安全報(bào)告》顯示，今年上半年，安卓系統(tǒng)新增染毒手機(jī)用戶數(shù)達(dá)3819.6萬,，平均每月有653.1萬臺(tái)安卓手機(jī)“中招”,。專家指出,，安卓系統(tǒng)的開放特性,，導(dǎo)致系統(tǒng)版本過多,、軟件下載渠道失控,、手機(jī)應(yīng)用缺乏有效審核等多重問題,。層出不窮的惡意軟件不僅嚴(yán)重破壞了安卓系統(tǒng)的生態(tài)體系,，也對(duì)用戶的信息、財(cái)產(chǎn)安全構(gòu)成嚴(yán)重威脅,，亟須引起用戶的警惕和相關(guān)部門的注意,。
安卓暴露多重安全隱患
隨著《2013年上半年手機(jī)安全報(bào)告》的陸續(xù)發(fā)布，安卓系統(tǒng)的安全問題再次引發(fā)關(guān)注,。國(guó)家網(wǎng)絡(luò)信息安全技術(shù)研究所的檢測(cè)報(bào)告亦顯示,，今年二季度，在抽取的18萬款安卓應(yīng)用中,，約六成應(yīng)用存在可疑行為,。
專家指出，在安卓手機(jī)快速普及的同時(shí),，安卓系統(tǒng)正暴露越來越多的安全隱患,。
首先，竊取用戶個(gè)人信息,。國(guó)家網(wǎng)絡(luò)信息安全技術(shù)研究所對(duì)市面上主要的安卓手機(jī)非官方應(yīng)用商店進(jìn)行檢測(cè)發(fā)現(xiàn),，在抽取的18萬個(gè)應(yīng)用樣本中，惡意應(yīng)用占到了11%,，這些應(yīng)用包括鱷魚愛洗澡,、手電筒、sky省錢電話等常用軟件,，其共同特征是可在用戶沒有允許的情況下竊取密碼,、通訊錄等極其私密的信息。另外,，約六成應(yīng)用存在可疑行為,，這些應(yīng)用能夠得到用戶的設(shè)備ID、具體位置信息,，甚至能自動(dòng)連接網(wǎng)絡(luò),、開啟藍(lán)牙。
南開大學(xué)信息技術(shù)科學(xué)學(xué)院副教授史廣順指出,，許多安卓應(yīng)用都會(huì)要求讀取用戶通訊錄,、短信,、通話記錄,、地理位置等私密信息，其中一些會(huì)強(qiáng)制用戶授權(quán)(不授權(quán)就無法安裝),，一些甚至不經(jīng)用戶授權(quán)就直接竊取,。這些被竊取的信息極有可能被用于黑市交易,，給安卓用戶的個(gè)人信息安全帶來極大隱患。
其次,，竊取用戶話費(fèi),。易觀智庫(kù)統(tǒng)計(jì)發(fā)現(xiàn)，今年上半年截獲的安卓手機(jī)病毒中,，約35.7%的病毒具有消耗資費(fèi)能力,，其中有一些還可以在用戶不知情的情況下進(jìn)行惡意扣費(fèi)。
艾媒咨詢CEO張毅指出,，惡意軟件實(shí)現(xiàn)暗中扣費(fèi),，主要是與違規(guī)SP相結(jié)合，在用戶不經(jīng)意的情況下“替”用戶開通SP服務(wù),。由于三大運(yùn)營(yíng)商往往會(huì)對(duì)用戶發(fā)送確認(rèn)短信,，以確認(rèn)用戶自愿開通服務(wù)，一些惡意軟件還會(huì)直接屏蔽運(yùn)營(yíng)商的短信,。另據(jù)了解,，一些惡意軟件還會(huì)與指定垃圾短信相結(jié)合，自動(dòng)回復(fù)代碼,，訂購(gòu)SP服務(wù),。
第三，強(qiáng)制推送浮窗廣告,、通知欄廣告,。據(jù)了解，“云端惡意廣告指令類病毒”在今年上半年迅速蔓延,，制毒機(jī)構(gòu)可針對(duì)知名應(yīng)用的指定頁面強(qiáng)行顯示浮窗廣告,，不僅消耗用戶的流量，還會(huì)極大地傷害用戶的使用體驗(yàn),。
除此之外,，一些惡意軟件還會(huì)在安卓手機(jī)的通知欄強(qiáng)制推送廣告。網(wǎng)秦手機(jī)安全專家鄒仕洪告訴記者,，安卓通知欄是安卓系統(tǒng)專門開辟的系統(tǒng)消息通知區(qū),，用于展示諸如軟件更新、郵件提示等信息,。一些應(yīng)用開發(fā)者利用安卓系統(tǒng)這一特點(diǎn),，強(qiáng)制進(jìn)行廣告推廣。當(dāng)用戶打開該應(yīng)用或手機(jī)處于待機(jī)狀態(tài)時(shí),，通知欄強(qiáng)制彈出,，展示廣告或提示，引導(dǎo)用戶點(diǎn)擊下載其它應(yīng)用程序,。而由于用戶不知道這些“彈窗廣告”是那個(gè)應(yīng)用觸發(fā)的,，往往想刪軟件也無從下手,。
安卓惡意應(yīng)用如何傳播
據(jù)了解，我國(guó)大部分安卓手機(jī)用戶都會(huì)使用百度應(yīng)用,、91手機(jī)助手,、360手機(jī)助手等第三方應(yīng)用商店安裝手機(jī)應(yīng)用。盡管這些第三方應(yīng)用商店都自稱嚴(yán)格審核,，但效果卻不盡如人意,。
史廣順指出，我國(guó)并未建立第三方應(yīng)用商店的標(biāo)準(zhǔn)和規(guī)范,，現(xiàn)有的應(yīng)用商店魚龍混雜,。由于各應(yīng)用商店普遍追求規(guī)模、下載量和市場(chǎng)份額,，在安卓應(yīng)用整體安全程度較低的情況下,，各應(yīng)用商店都沒有動(dòng)力對(duì)數(shù)量龐大的安卓應(yīng)用進(jìn)行嚴(yán)格篩選。由此導(dǎo)致許多惡意軟件都得以通過應(yīng)用商城進(jìn)行傳播擴(kuò)散,。
值得注意的是,，在國(guó)內(nèi)一些應(yīng)用商店中，還存在許多流行軟件的“山寨版本”,。這些“山寨植物打僵尸”,、“山寨涂鴉跳躍”在外觀上可以以假亂真，但被植入了病毒代碼或廣告插件,，用戶在真假難辨的情況下一旦下載,，就會(huì)“中招”，在不知不覺中消耗大量手機(jī)流量和資費(fèi),。更有甚者,，由于許多安卓手機(jī)已經(jīng)獲得了ROOT權(quán)限，一些惡意軟件還可以“自我繁衍”——在用戶不知情的情況下,，接受“云端指令”,，在后臺(tái)安裝其他的惡意軟件。
除了第三方應(yīng)用商店,，安卓用戶的“刷機(jī)熱”也是安卓手機(jī)容易“中招”的重要原因,。鄒仕洪告訴記者，許多安卓用戶都出于提升手機(jī)性能,、更換手機(jī)操作界面等原因選擇了刷機(jī),，而并沒有認(rèn)識(shí)到刷機(jī)的危害性——許多惡意軟件都潛伏在ROM刷機(jī)包中，借刷機(jī)來傳播,，用戶在完成刷機(jī)的同時(shí),，也在不知不覺中“中招”。另外，許多水貨手機(jī)在用戶買到手時(shí)就是被刷過機(jī)的,，其中預(yù)裝了大量的垃圾軟件甚至惡意軟件。
誰來給安卓手機(jī)安全把關(guān)
南開大學(xué)信息技術(shù)科學(xué)學(xué)院副教授史廣順認(rèn)為,，從理論上講,，技術(shù)體系越開放，提供安全服務(wù)的廠商就越多,，系統(tǒng)也就越安全,；但在現(xiàn)實(shí)中，安卓系統(tǒng)作為一個(gè)開放平臺(tái),，系統(tǒng)版本過多,，對(duì)應(yīng)用下載渠道難以把控，反而導(dǎo)致安卓系統(tǒng)成為惡意手機(jī)應(yīng)用的重災(zāi)區(qū),。
專家指出,，優(yōu)化安卓系統(tǒng)的安全環(huán)境，仍然需要多方面共同努力,。
首先,，進(jìn)一步完善立法，嚴(yán)厲打擊手機(jī)竊密行為,。據(jù)了解,，工信部已于2012年6月初發(fā)布《關(guān)于加強(qiáng)移動(dòng)智能終端進(jìn)網(wǎng)管理的通知》(征求意見稿)，對(duì)終端設(shè)備的制造商進(jìn)行約束,，但目前尚未有相應(yīng)法規(guī)對(duì)應(yīng)用程序的開發(fā)者進(jìn)行監(jiān)管,。什么信息可以讀取，什么信息不能讀取,，在法律層面并不明確,。
南開大學(xué)信息安全系主任賈春福表示，智能手機(jī)中包含大量的個(gè)人信息,，且手機(jī)天然聯(lián)網(wǎng)的特性導(dǎo)致其無法通過物理隔離的方式來防止信息被竊,。相關(guān)部門必須盡快制定相關(guān)法規(guī)，明確應(yīng)用開發(fā)者權(quán)限,，嚴(yán)禁手機(jī)應(yīng)用“越界”讀取用戶信息,。對(duì)于竊取用戶信息用于非法目的的行為，必須嚴(yán)懲,。
其次,，整頓第三方應(yīng)用商城。史廣順認(rèn)為,，第三方應(yīng)用商城已成為惡意軟件最重要的傳播渠道,。相關(guān)部門應(yīng)建立嚴(yán)格的標(biāo)準(zhǔn)和規(guī)范，對(duì)各應(yīng)用商店進(jìn)行嚴(yán)格審查，并對(duì)違規(guī)傳播惡意應(yīng)用的應(yīng)用商城進(jìn)行相應(yīng)懲罰,，以此促使各應(yīng)用商店更好地篩選手機(jī)應(yīng)用,。
第三，用戶應(yīng)培養(yǎng)正確的使用習(xí)慣,。張毅指出,，在安卓應(yīng)用整體安全程度偏低的情況下，用戶也應(yīng)提高警惕,，養(yǎng)成正確的使用習(xí)慣,。不要輕易獲取安卓系統(tǒng)的最高權(quán)限，不要輕易刷機(jī),，盡量選擇官方應(yīng)用商店以及正規(guī)的第三方應(yīng)用商店下載手機(jī)軟件,。