鳳凰網(wǎng)科技訊（作者/花子健）1月9日消息，騰訊安全玄武實(shí)驗(yàn)室將應(yīng)用克隆這一移動(dòng)攻擊威脅模型正式對(duì)外披露。

騰訊安全玄武實(shí)驗(yàn)室負(fù)責(zé)人于旸表示，該攻擊模型是基于移動(dòng)應(yīng)用的一些基本設(shè)計(jì)特點(diǎn)導(dǎo)致的，所以幾乎所有移動(dòng)應(yīng)用都適用該攻擊模型。在這個(gè)攻擊模型的視角下，很多以前認(rèn)為威脅不大、廠商不重視的安全問題，都可以輕松克隆用戶賬戶，竊取隱私信息，盜取賬號(hào)及資金等。基于該攻擊模型，騰訊安全玄武實(shí)驗(yàn)室以某個(gè)常被廠商忽略的安全問題進(jìn)行檢查，在200個(gè)移動(dòng)應(yīng)用中發(fā)現(xiàn)27個(gè)存在漏洞，比例超過10%。在發(fā)現(xiàn)這些漏洞之后，騰訊安全玄武實(shí)驗(yàn)室通過CNCERT向廠商報(bào)告了相關(guān)漏洞，并提供了修復(fù)方法。

于旸介紹，在玄武安全研究團(tuán)隊(duì)研究過程中，發(fā)現(xiàn)由于現(xiàn)在手機(jī)操作系統(tǒng)本身對(duì)漏洞攻擊已有較多防御措施，所以一些安全問題常常被app廠商和手機(jī)廠商忽略。而只要對(duì)這些貌似威脅不大的安全問題進(jìn)行組合，就可以實(shí)現(xiàn)應(yīng)用克隆攻擊。這一漏洞利用方式一旦被不法分子利用，就可以輕松克隆獲取用戶賬戶權(quán)限，盜取用戶賬號(hào)及資金等。

玄武實(shí)驗(yàn)室以支付寶app為例展示了應(yīng)用克隆攻擊的效果：在升級(jí)到最新安卓8.1.0的手機(jī)上，利用支付寶app自身的漏洞，攻擊者向用戶發(fā)送一條包含惡意鏈接的手機(jī)短信，用戶一旦點(diǎn)擊，其支付寶賬戶一秒鐘就被克隆到攻擊者的手機(jī)中，然后攻擊者就可以任意查看用戶賬戶信息，并可進(jìn)行消費(fèi)。目前，支付寶在最新版本中已修復(fù)了該漏洞。

據(jù)介紹，應(yīng)用克隆對(duì)大多數(shù)移動(dòng)應(yīng)用都有效。而玄武實(shí)驗(yàn)室此次發(fā)現(xiàn)的漏洞至少涉及國內(nèi)安卓應(yīng)用市場(chǎng)十分之一的app，如支付寶、攜程、餓了么等多個(gè)主流app均存在漏洞，所以該漏洞幾乎影響國內(nèi)所有安卓用戶。

考慮到該漏洞影響的廣泛性，以及配合應(yīng)用克隆攻擊模型后的巨大威脅，騰訊安全玄武實(shí)驗(yàn)室現(xiàn)場(chǎng)發(fā)布了玄武支援計(jì)劃。于旸表示，由于對(duì)該漏洞的檢測(cè)無法自動(dòng)化完成，必須人工分析，玄武實(shí)驗(yàn)室無法對(duì)整個(gè)安卓應(yīng)用市場(chǎng)進(jìn)行檢測(cè)，所以通過此次新聞發(fā)布會(huì)，希望更多的app廠商關(guān)注并自查產(chǎn)品是否仍存在相應(yīng)漏洞，并進(jìn)行修復(fù)。對(duì)用戶量大、涉及重要數(shù)據(jù)的app，玄武實(shí)驗(yàn)室也會(huì)提供相關(guān)技術(shù)援助。