按照Android利用供給商Lookout Mobile Security在本周五發(fā)布的陳述，安然研究人員日前在谷歌Play官方利用商鋪中發(fā)現(xiàn)了一組歹意軟件，該歹意代碼庫(kù)名為“BadNews”，被植進(jìn)到由4個(gè)開(kāi)辟者賬戶(hù)供給的起碼32個(gè)利用法度傍邊，今朝已被下載900萬(wàn)次。
此次針對(duì)Android手機(jī)的報(bào)復(fù)打擊，之所以可以或許繞過(guò)谷歌利用商鋪的防御，是因?yàn)榇跻獯a庫(kù)是在那些無(wú)害利用提交到Play商鋪以后才被注進(jìn)到它們傍邊，只有在利用進(jìn)級(jí)以后才會(huì)進(jìn)行報(bào)復(fù)打擊。
這也透露出谷歌利用商鋪(Google Play)的一個(gè)重大年夜安然隱患，一個(gè)無(wú)害的利用，經(jīng)由過(guò)程本身的主動(dòng)進(jìn)級(jí)或在線(xiàn)更新，很可能會(huì)變成一個(gè)歹意利用。
谷歌利用商鋪和蘋(píng)果利用商鋪在利用的進(jìn)級(jí)措置上其實(shí)不一樣，在蘋(píng)果利用商鋪，任何利用假定需要進(jìn)級(jí)，都必需經(jīng)由過(guò)程蘋(píng)果官方利用商鋪進(jìn)級(jí)，利用一般也不會(huì)在線(xiàn)下載大年夜量數(shù)據(jù)文件。而Android就不合，良多利用將數(shù)據(jù)文件放在SD卡，只供給一個(gè)很小的文件下載，運(yùn)行文件后會(huì)下載所需數(shù)據(jù)文件，這使得Google對(duì)這些文件的審核變得不成控。
在利用的進(jìn)級(jí)方面，良多Android利用的進(jìn)級(jí)采納了繞過(guò)谷歌官方利用商鋪Google Play Store而主動(dòng)下載更新的編制進(jìn)行，而下載完成后，該利用所獲得的權(quán)限常常會(huì)很是大年夜，這使得谷歌對(duì)該利用的進(jìn)級(jí)不成控。
是以，這類(lèi)縫隙一旦被黑客操縱，黑客只要報(bào)復(fù)打擊各個(gè)利用法度的網(wǎng)站，替代其下載利用數(shù)據(jù)為歹意利用，便可以對(duì)大年夜量Android手機(jī)實(shí)施報(bào)復(fù)打擊，即便這些手機(jī)利用的是谷歌官方利用商鋪。當(dāng)初Android承諾利用本身進(jìn)級(jí)數(shù)據(jù)文件而不是依托利用商鋪，就注定這類(lèi)報(bào)復(fù)打擊沒(méi)法避免，谷歌要想從本源上禁止這類(lèi)報(bào)復(fù)打擊，只能進(jìn)修蘋(píng)果，從本源上斷盡利用的在線(xiàn)進(jìn)級(jí)功能，強(qiáng)迫利用必需經(jīng)由過(guò)程谷歌利用商鋪Google Play進(jìn)行進(jìn)級(jí)。