Marble移動安然嘗試室比來對50000個 Android利用法度進(jìn)行了闡發(fā),其成果不容樂不雅。一些近似短動靜辦事(SMS)等的利用法度可以讀取地址簿等信息，其足以構(gòu)成對企業(yè)安然的巨大年夜威脅。良多公司覺得, Android和iOS等移動平臺的核心安然在于包管他們端點(diǎn)安然便可。但這項研究表白：員工下載利用法度，風(fēng)險不但在于他們設(shè)備上的數(shù)據(jù)和文件，其設(shè)備上的用戶名和暗碼等也能使報復(fù)打擊者對其公司及其他員工構(gòu)成高度威脅。
1、近三分之一的移動利用法度會拜候用戶的谷歌賬戶
一些利用法度主動登錄到用戶的谷歌帳戶、小我和企業(yè)的電子郵件、文檔等。然后他們可以拜候存儲在谷歌文檔中的文件，并可能造成設(shè)備封鎖，對企業(yè)和用戶數(shù)據(jù)進(jìn)行暴光或盜竊，或經(jīng)由過程這一手段進(jìn)一步進(jìn)行收集滲入。這無疑是一個巨大年夜的威脅。
2、17%的利用法度會將IMEI/SIM卡的ID發(fā)送至收集辦事器
IMEI和SIM卡是用于辨認(rèn)移動設(shè)備的獨(dú)一無二的號碼，電信運(yùn)營商可以經(jīng)由過程它們驗證您和您的設(shè)備。當(dāng)利用法度獲得和發(fā)送這些標(biāo)識符到第三方辦事器,他們便可以對您和您的設(shè)備進(jìn)行跟蹤。別的，有了這些標(biāo)識符，罪犯還可以克隆一個設(shè)備，并以此領(lǐng)受用戶的德律風(fēng)和短信。
3、12%的利用法度讀取用戶的短信通信信息
假定一個利用法度可以讀取移動設(shè)備上的短信文本,那么其一樣也會獲得用戶的通信信息。對企業(yè)員工來講，這意味著一個首要的安然縫隙,因為罪犯可能用它來假充熟諳的人，或經(jīng)由過程其他渠道更成功的進(jìn)行垂釣報復(fù)打擊。假定短信信息被第三方或歹意法度所見，那么其等閑便可以擊敗由Google、Twitter和良多銀行供給的短信的兩重認(rèn)證。
4、9%的利用法度讀取用戶的德律風(fēng)的通話記實(shí)
正如被讀取的短息文本,一個利用法度假定可以或許讀取用戶的移動德律風(fēng)的通話記實(shí)，便可以幫忙罪犯開端構(gòu)建社對特定用戶的社會工程學(xué)報復(fù)打擊。罪犯將操縱此刻已知的用戶通話和短信辦事誘使被聯(lián)系人信賴，并用這類信賴對特定的公司策動報復(fù)打擊，獲得收集登錄和敏感信息等。
5、9%的利用法度讀取用戶的聯(lián)系人數(shù)據(jù)庫
假定一個公司的聯(lián)系人數(shù)據(jù)庫被第三方告白辦事器連接到互聯(lián)網(wǎng)上，那這將是一個嚴(yán)重的安然縫隙。因為它透露了被用于發(fā)送垃圾郵件、進(jìn)行收集垂釣和社會工程學(xué)報復(fù)打擊的關(guān)頭數(shù)據(jù)?？此茻o害的嵌進(jìn)式利用法度，好比游戲和利用軟件,可以直接將聯(lián)系人數(shù)據(jù)庫轉(zhuǎn)移到在互聯(lián)網(wǎng)的辦事器上。
6、6%的利用法度會讀取設(shè)備上的Web瀏覽器汗青
企業(yè)其實(shí)不?？幢旧韱T工的瀏覽汗青被透露，因為它可使罪犯體味到員工拜候過哪些網(wǎng)站、在哪里工作、他們銀行在哪里、企業(yè)的url拜候地址,乃至包含郵箱辦事器和SharePoint站點(diǎn)。有了員工瀏覽汗青和登錄根據(jù),犯法可以很等閑地拜候公司收集，因為良多人在拜候需要驗證的網(wǎng)站時都利用的是不異的或略有改變的暗碼。
7、2.8%的利用法度會點(diǎn)竄設(shè)備的無線設(shè)置
利用法度會主動更改員工移動設(shè)備上的無線收集設(shè)置，以策動各類各樣的收集報復(fù)打擊。員工利用被收集罪犯節(jié)制的無線收集時，他們所有的流量都可以被監(jiān)控，或是遭到“中間人報復(fù)打擊”。
8、1.6%的利用法度試圖在設(shè)備上安裝其他利用法度或歹意軟件
在一些舊版本的Android手機(jī)上，利用法度可以在用戶不知道的環(huán)境下安裝其他利用法度或歹意軟件。事實(shí)上，1.6%的Android利用法度城市要求許可安裝利用法度。任何移動利用都沒有來由將另外一個法度安裝在設(shè)備上。這些額外的利用法度可以被罪犯進(jìn)行點(diǎn)竄，并在員工不知情的環(huán)境下完全節(jié)制其設(shè)備，以跟蹤短信文本、監(jiān)控德律風(fēng)、讀取瀏覽器汗青和點(diǎn)竄無線收集設(shè)置，讓員工和企業(yè)透露在無數(shù)情勢的報復(fù)打擊之下。
9、利用法度的歹意軟件版本可以預(yù)裝在設(shè)備上
Marble安然嘗試室已確認(rèn)了歹意利用法度可以被預(yù)裝在設(shè)備上，一個特定的案例是Netflix被發(fā)現(xiàn)呈現(xiàn)了歹意法度的頂替者。這個利用法度大年夜約有10到12版本，此中一個歹意法度版本心在盜守諾言卡信息并可供下載。嘗試室發(fā)現(xiàn)該歹意版本常常被預(yù)裝在手機(jī)和平板電腦中。近似的編制還可以針對企業(yè)進(jìn)行利用，尋求員工長途登錄信息和暗碼，這也是策動高級延續(xù)性威脅(APT)的第一步。