Android StrandHogg缝隙安全公告
颁布功夫 2019-12-04缝隙编号和级别
CVE编号：暂无 ，危险级别：高危 ，CVSS分值：官方未评定
影响版本
所有Android版本 ，蕴含Android10*
缝隙概述
近日 ，挪威专业利用安全�；す綪romon的安全钻研人员暗示 ，他们发现了Android操作系统中的一个缝隙 ，该缝隙使恶意利用能够劫持合法法式 ，从而使黑客能够接见个人短信和照片 ，窃取受害者的登录痛处 ，跟踪地位或纪录电话对话 ，甚至能够通过手机摄像头和麦克风进行监督。他们将该缝隙定名为StrandHogg ，这是北欧人的一种北欧海盗战术 ，袭击沿海地域打劫并扣押赎金。
StrandHogg攻击不必要root接见权限即可运行 ，目前已经有至少36个利用此缝隙的恶意利用 ，其中蕴含最早在2017年观察到的BankBot银行木马的变种。这36个利用法式已作为第二阶段的有效负载装置在用户的设备上。用户最初从Play商店装置了其他恶意利用法式 ，而后又下载了受StrandHogg习染的利用法式 ，以进行更具侵入性的攻击。
Promon钻研人员还测试了Google Play商店中可用的前500个最盛行的Android利用法式 ，发现能够通过StrandHogg攻击劫持所有利用法式的过程以执行恶意操作。
缝隙验证
在表表上 ，StrandHogg是Android操作系统处置在处置分歧操作或利用法式的工作（过程）之间切换的方式中的谬误。更具体地说 ，StrandHogg是OS组件中的一个谬误 ，用于处置多工作 ，这种机造使Android操作系统能够一次运行多个过程 ，并在利用法式进入或退出用户视图（屏幕）时在它们之间切换。当用户启动另一个利用法式时 ，通过称为“工作沉做”的职能 ，装置在Android智能手机上的恶意利用法式能够利用StrandHogg谬误触发恶意代码。
攻击者通过该缝隙 ，要求获取利用权限 ，或者攻击者利用类似“界面劫持”的方式 ，弹出垂钓界面让你输入账户密码 ，或者一向给你弹界面 ，让你退不出去 ，从而执行勒索财帛。
缝隙演示视频：https://promon.co/security-news/strandhogg/。
建复建议
目前厂商没有颁布缝隙补丁 ，不要装置来历不明的APP。
参考链接
https://promon.co/security-news/strandhogg/
京公网安备11010802024551号