[討論] HTC等Android手機暴露遭駭風險！
Enan Lin2015-7-29 16:28
我剛剛看到的Android資安警告文章，覺得資訊安全漏洞破大了，
希望HTC相關部門能為用戶盡早升級系統以防堵駭客風險。
十分鐘前的文章整理得太官方了，買個東西回來竟然就被以為是新聞轉載未加心得而刪除！ＯＭＧ
（加一點表情符號更生動吧）
不想再整理了，直接轉載+心得～～
(被刪除的訊息)
超危險漏洞！只要一通多媒體簡訊，大多數的Android手機都有被駭風險
網路安全機構Zimperium最近發現了Android手機的一個漏洞，攻擊者可利用該漏洞，在裝置主人沒有察覺的情況下，遠端控制你的手機。這項漏洞存在於Android 2.2到5.1的所有版本，預計會有相當大範圍的Android手機受到影響。Zimperium將在8月份舉行的2015黑帽大會及Def Con駭客大會上詳述這項發現。
發生漏洞的地方，是Android裡頭的多媒體框架(multimedia framework)。在早期，Android採用的多媒體框架為OpenCORE，但是因為架構太過複雜，從Android 2.0開始就改用Stagefright框架，而安全漏洞也是在Stagefright中的多媒體函式庫被發現。
▲現在Stagefright漏洞問題，已經有了自己的LOGO了。
Zimperium表示他們在Stagefright框架中發現了多重的漏洞，而透過這些漏洞，駭客只要有某人的Android手機號碼，然後駭客就可以利用MMS多媒體簡訊的方式，發送一個特定的多媒體檔案，然後對方只要收到這個多媒體簡訊，手機就可以被入侵了。
更嚴重的是，裝置主人甚至永遠都不會知道自己的手機已經被人入侵了。駭客可以在手機主人睡覺的時候發送木馬、瀏覽手機、最終刪除手機被入侵的證據。一旦準備就緒，攻擊者即可在遠端操控手機的麥克風、竊取檔案、查看郵件等等。
新發現的這一漏洞尤其具有危險性，因為它不像網路釣魚等攻擊手段，需要打開攻擊者發送的檔案或連結才會感染，即使是受害者不做任何事情，它也能偷偷地入侵裝置並在使用者發現前將證據抹掉。
至於Google方面，在收到Zimperium提供的相關資料並且確認是漏洞之後，已經給Android Open Source Project進行更新，並向合作夥伴提供可以修補這個漏洞的檔案，因此品牌手機廠商可能也已經開始提供相關的更新了。
不過，根據Forbes他們在昨天向幾家主要Android廠商：HTC、LG、Lenonvo、Motorola、Samsung、Sony詢問何時會提供安全更新，都沒有得到直接的答覆。其中只有HTC在隔了一天表示Google已經提供給他們安全更新，即將會在最近向旗下產品發佈更新。因此，你可以從中發現很多Android手機廠商的系統更新速度相對緩慢，因此也無法保證絕對安全。
不過，Google也表示，現在大多數較新的Android裝置都已經採用了多種混和式的技術來保護系統，並且還有應用沙盒來將使用者資料與其他應用進行區隔，所以漏洞的利用會更加困難。
依照IDC的預測，到今年年底，Android裝置的佔有率將達到79.4%，出貨量達11.5億，遠超蘋果的2.37億出貨量及16.5%佔有率。但是根據安全機構F-Secure的資料，Android也是行動端惡意軟體的首要攻擊目標，99%的惡意軟體都把Android作為攻擊對象。隨著智慧手機在電子商務、支付等方面的使用越來越頻繁，積累的隱私資料越來越多，安全問題必須引起高度重視。
本文章最後由( Enan Lin )於 2015-7-29 16:29 編輯
檢舉 回應
Enan Lin2015-7-29 17:21
Marcus Tien 發表於 2015-7-29 17:17
能不能快點更新修補漏洞，這應該不是HTC能決定的，要看Google才對，Google慢，大家都慢... ...
文章中提及"根據Forbes他們在昨天向幾家主要Android廠商：HTC、LG、Lenonvo、Motorola、Samsung、Sony詢問何時會提供安全更新，都沒有得到直接的答覆。其中只有HTC在隔了一天表示Google已經提供給他們安全更新，即將會在最近向旗下產品發佈更新。因此，你可以從中發現很多Android手機廠商的系統更新速度相對緩慢，因此也無法保證絕對安全。"
檢舉 回應
belleuve2015-7-31 07:54
網路安全機構Zimperium最近發現了Android手機的一個漏洞，攻擊者可利用該漏洞，在裝置主人沒有察覺的情況下，遠端控制你的手機。這項漏洞存在於Android 2.2到5.1的所有版本，預計會有相當大範圍的Android手機受到影響。Zimperium將在8月份舉行的2015黑帽大會及Def Con駭客大會上詳述這項發現。
發生漏洞的地方，是Android裡頭的多媒體框架(multimedia framework)。在早期，Android採用的多媒體框架為OpenCORE，但是因為架構太過複雜，從Android 2.0開始就改用Stagefright框架，而安全漏洞也是在Stagefright中的多媒體函式庫被發現。
▲現在Stagefright漏洞問題，已經有了自己的LOGO了。
Zimperium表示他們在Stagefright框架中發現了多重的漏洞，而透過這些漏洞，駭客只要有某人的Android手機號碼，然後駭客就可以利用MMS多媒體簡訊的方式，發送一個特定的多媒體檔案，然後對方只要收到這個多媒體簡訊，手機就可以被入侵了。
更嚴重的是，裝置主人甚至永遠都不會知道自己的手機已經被人入侵了。駭客可以在手機主人睡覺的時候發送木馬、瀏覽手機、最終刪除手機被入侵的證據。一旦準備就緒，攻擊者即可在遠端操控手機的麥克風、竊取檔案、查看郵件等等。
新發現的這一漏洞尤其具有危險性，因為它不像網路釣魚等攻擊手段，需要打開攻擊者發送的檔案或連結才會感染，即使是受害者不做任何事情，它也能偷偷地入侵裝置並在使用者發現前將證據抹掉。
至於Google方面，在收到Zimperium提供的相關資料並且確認是漏洞之後，已經給Android Open Source Project進行更新，並向合作夥伴提供可以修補這個漏洞的檔案，因此品牌手機廠商可能也已經開始提供相關的更新了。
不過，根據Forbes他們在昨天向幾家主要Android廠商：HTC、LG、Lenonvo、Motorola、Samsung、Sony詢問何時會提供安全更新，都沒有得到直接的答覆。其中只有HTC在隔了一天表示Google已經提供給他們安全更新，即將會在最近向旗下產品發佈更新。因此，你可以從中發現很多Android手機廠商的系統更新速度相對緩慢，因此也無法保證絕對安全。
HTC好樣的，第一站出來公佈會更新資料，請大家收到MMS多媒體簡訊就要注意一下!
資料來源：T客邦
我的品牌大使代碼：8221204，歡迎多利用!
檢舉
回應
