 |
|
| 資料照片 |
|
騰訊移動(dòng)安全實(shí)驗(yàn)室近日發(fā)布的《2013年上半年手機(jī)安全報(bào)告》顯示，今年上半年，安卓系統(tǒng)新增染毒手機(jī)用戶數(shù)達(dá)3819.6萬，平均每月有653.1萬臺(tái)安卓手機(jī)“中招”。專家指出，安卓系統(tǒng)的開放特性，導(dǎo)致系統(tǒng)版本過多、軟件下載渠道失控、手機(jī)應(yīng)用缺乏有效審核等多重問題。層出不窮的惡意軟件不僅嚴(yán)重破壞了安卓系統(tǒng)的生態(tài)體系，也對(duì)用戶的信息、財(cái)產(chǎn)安全構(gòu)成嚴(yán)重威脅，亟須引起用戶的警惕和相關(guān)部門的注意。
安卓暴露多重安全隱患
隨著《2013年上半年手機(jī)安全報(bào)告》的陸續(xù)發(fā)布，安卓系統(tǒng)的安全問題再次引發(fā)關(guān)注。國家網(wǎng)絡(luò)信息安全技術(shù)研究所的檢測(cè)報(bào)告亦顯示，今年二季度，在抽取的18萬款安卓應(yīng)用中，約六成應(yīng)用存在可疑行為。
專家指出，在安卓手機(jī)快速普及的同時(shí)，安卓系統(tǒng)正暴露越來越多的安全隱患。
首先，竊取用戶個(gè)人信息。國家網(wǎng)絡(luò)信息安全技術(shù)研究所對(duì)市面上主要的安卓手機(jī)非官方應(yīng)用商店進(jìn)行檢測(cè)發(fā)現(xiàn)，在抽取的18萬個(gè)應(yīng)用樣本中，惡意應(yīng)用占到了11%，這些應(yīng)用包括鱷魚愛洗澡、手電筒、sky省錢電話等常用軟件，其共同特征是可在用戶沒有允許的情況下竊取密碼、通訊錄等極其私密的信息。另外，約六成應(yīng)用存在可疑行為，這些應(yīng)用能夠得到用戶的設(shè)備ID、具體位置信息，甚至能自動(dòng)連接網(wǎng)絡(luò)、開啟藍(lán)牙。
南開大學(xué)信息技術(shù)科學(xué)學(xué)院副教授史廣順指出，許多安卓應(yīng)用都會(huì)要求讀取用戶通訊錄、短信、通話記錄、地理位置等私密信息，其中一些會(huì)強(qiáng)制用戶授權(quán)(不授權(quán)就無法安裝)，一些甚至不經(jīng)用戶授權(quán)就直接竊取。這些被竊取的信息極有可能被用于黑市交易，給安卓用戶的個(gè)人信息安全帶來極大隱患。
其次，竊取用戶話費(fèi)。易觀智庫統(tǒng)計(jì)發(fā)現(xiàn)，今年上半年截獲的安卓手機(jī)病毒中，約35.7%的病毒具有消耗資費(fèi)能力，其中有一些還可以在用戶不知情的情況下進(jìn)行惡意扣費(fèi)。
艾媒咨詢CEO張毅指出，惡意軟件實(shí)現(xiàn)暗中扣費(fèi)，主要是與違規(guī)SP相結(jié)合，在用戶不經(jīng)意的情況下“替”用戶開通SP服務(wù)。由于三大運(yùn)營商往往會(huì)對(duì)用戶發(fā)送確認(rèn)短信，以確認(rèn)用戶自愿開通服務(wù)，一些惡意軟件還會(huì)直接屏蔽運(yùn)營商的短信。另據(jù)了解，一些惡意軟件還會(huì)與指定垃圾短信相結(jié)合，自動(dòng)回復(fù)代碼，訂購SP服務(wù)。
第三，強(qiáng)制推送浮窗廣告、通知欄廣告。據(jù)了解，“云端惡意廣告指令類病毒”在今年上半年迅速蔓延，制毒機(jī)構(gòu)可針對(duì)知名應(yīng)用的指定頁面強(qiáng)行顯示浮窗廣告，不僅消耗用戶的流量，還會(huì)極大地傷害用戶的使用體驗(yàn)。
除此之外，一些惡意軟件還會(huì)在安卓手機(jī)的通知欄強(qiáng)制推送廣告。網(wǎng)秦手機(jī)安全專家鄒仕洪告訴記者，安卓通知欄是安卓系統(tǒng)專門開辟的系統(tǒng)消息通知區(qū)，用于展示諸如軟件更新、郵件提示等信息。一些應(yīng)用開發(fā)者利用安卓系統(tǒng)這一特點(diǎn)，強(qiáng)制進(jìn)行廣告推廣。當(dāng)用戶打開該應(yīng)用或手機(jī)處于待機(jī)狀態(tài)時(shí)，通知欄強(qiáng)制彈出，展示廣告或提示，引導(dǎo)用戶點(diǎn)擊下載其它應(yīng)用程序。而由于用戶不知道這些“彈窗廣告”是那個(gè)應(yīng)用觸發(fā)的，往往想刪軟件也無從下手。
安卓惡意應(yīng)用如何傳播
據(jù)了解，我國大部分安卓手機(jī)用戶都會(huì)使用百度應(yīng)用、91手機(jī)助手、360手機(jī)助手等第三方應(yīng)用商店安裝手機(jī)應(yīng)用。盡管這些第三方應(yīng)用商店都自稱嚴(yán)格審核，但效果卻不盡如人意。
史廣順指出，我國并未建立第三方應(yīng)用商店的標(biāo)準(zhǔn)和規(guī)范，現(xiàn)有的應(yīng)用商店魚龍混雜。由于各應(yīng)用商店普遍追求規(guī)模、下載量和市場(chǎng)份額，在安卓應(yīng)用整體安全程度較低的情況下，各應(yīng)用商店都沒有動(dòng)力對(duì)數(shù)量龐大的安卓應(yīng)用進(jìn)行嚴(yán)格篩選。由此導(dǎo)致許多惡意軟件都得以通過應(yīng)用商城進(jìn)行傳播擴(kuò)散。
值得注意的是，在國內(nèi)一些應(yīng)用商店中，還存在許多流行軟件的“山寨版本”。這些“山寨植物打僵尸”、“山寨涂鴉跳躍”在外觀上可以以假亂真，但被植入了病毒代碼或廣告插件，用戶在真假難辨的情況下一旦下載，就會(huì)“中招”，在不知不覺中消耗大量手機(jī)流量和資費(fèi)。更有甚者，由于許多安卓手機(jī)已經(jīng)獲得了ROOT權(quán)限，一些惡意軟件還可以“自我繁衍”——在用戶不知情的情況下，接受“云端指令”，在后臺(tái)安裝其他的惡意軟件。
除了第三方應(yīng)用商店，安卓用戶的“刷機(jī)熱”也是安卓手機(jī)容易“中招”的重要原因。鄒仕洪告訴記者，許多安卓用戶都出于提升手機(jī)性能、更換手機(jī)操作界面等原因選擇了刷機(jī)，而并沒有認(rèn)識(shí)到刷機(jī)的危害性——許多惡意軟件都潛伏在ROM刷機(jī)包中，借刷機(jī)來傳播，用戶在完成刷機(jī)的同時(shí)，也在不知不覺中“中招”。另外，許多水貨手機(jī)在用戶買到手時(shí)就是被刷過機(jī)的，其中預(yù)裝了大量的垃圾軟件甚至惡意軟件。
誰來給安卓手機(jī)安全把關(guān)
南開大學(xué)信息技術(shù)科學(xué)學(xué)院副教授史廣順認(rèn)為，從理論上講，技術(shù)體系越開放，提供安全服務(wù)的廠商就越多，系統(tǒng)也就越安全；但在現(xiàn)實(shí)中，安卓系統(tǒng)作為一個(gè)開放平臺(tái)，系統(tǒng)版本過多，對(duì)應(yīng)用下載渠道難以把控，反而導(dǎo)致安卓系統(tǒng)成為惡意手機(jī)應(yīng)用的重災(zāi)區(qū)。
專家指出，優(yōu)化安卓系統(tǒng)的安全環(huán)境，仍然需要多方面共同努力。
首先，進(jìn)一步完善立法，嚴(yán)厲打擊手機(jī)竊密行為。據(jù)了解，工信部已于2012年6月初發(fā)布《關(guān)于加強(qiáng)移動(dòng)智能終端進(jìn)網(wǎng)管理的通知》(征求意見稿)，對(duì)終端設(shè)備的制造商進(jìn)行約束，但目前尚未有相應(yīng)法規(guī)對(duì)應(yīng)用程序的開發(fā)者進(jìn)行監(jiān)管。什么信息可以讀取，什么信息不能讀取，在法律層面并不明確。
南開大學(xué)信息安全系主任賈春福表示，智能手機(jī)中包含大量的個(gè)人信息，且手機(jī)天然聯(lián)網(wǎng)的特性導(dǎo)致其無法通過物理隔離的方式來防止信息被竊。相關(guān)部門必須盡快制定相關(guān)法規(guī)，明確應(yīng)用開發(fā)者權(quán)限，嚴(yán)禁手機(jī)應(yīng)用“越界”讀取用戶信息。對(duì)于竊取用戶信息用于非法目的的行為，必須嚴(yán)懲。
其次，整頓第三方應(yīng)用商城。史廣順認(rèn)為，第三方應(yīng)用商城已成為惡意軟件最重要的傳播渠道。相關(guān)部門應(yīng)建立嚴(yán)格的標(biāo)準(zhǔn)和規(guī)范，對(duì)各應(yīng)用商店進(jìn)行嚴(yán)格審查，并對(duì)違規(guī)傳播惡意應(yīng)用的應(yīng)用商城進(jìn)行相應(yīng)懲罰，以此促使各應(yīng)用商店更好地篩選手機(jī)應(yīng)用。
第三，用戶應(yīng)培養(yǎng)正確的使用習(xí)慣。張毅指出，在安卓應(yīng)用整體安全程度偏低的情況下，用戶也應(yīng)提高警惕，養(yǎng)成正確的使用習(xí)慣。不要輕易獲取安卓系統(tǒng)的最高權(quán)限，不要輕易刷機(jī)，盡量選擇官方應(yīng)用商店以及正規(guī)的第三方應(yīng)用商店下載手機(jī)軟件。