小米手機內建的App暗藏安全漏洞

分類: 軟體 新品報導   4/12/2019   Check Point


Check PointR Software Technologies Ltd. (NASDAQ股票代碼:CHKP)的研究人員近日在小米手機內建的App「Guard Provider」中發現了一個漏洞;小米Guard Provider本意是透過檢測惡意軟體來保護手機,實際上卻讓使用者暴露在了威脅之中。根據Gartner統計,2018年小米市占率近8%,在全球手機市場排名第四。

小米Guard Provider是內建在所有主流小米手機中的App,其安全服務使用了多個協力廠商軟體開發套件(SDK),包括各種類型的裝置保護、清理、效能加速。該App內建了Avast、AVL和騰訊三個不同品牌的防毒軟體來保護手機,使用者可以選擇其中一個品牌的產品作為掃描裝置的預設防毒軟體。


由於進出Guard Provider的網路流量不安全,且同一個App中使用了多個SDK,攻擊者可以連接到與受害者相同的Wi-Fi網路,並執行中間人(Man-in-the-Middle,MiTM)攻擊;而多個SDK之間的通訊隔閡,也讓攻擊者可以趁機自行植入任何惡意程式碼,例如密碼竊取程式、勒索軟體、追蹤程式或任何其他類型的惡意軟體。

類似Guard Provider這類型內建於行動裝置的App都是無法刪除的,但在Check Point向小米告知這個漏洞後,小米也即時的修補了該漏洞。

SDK的優缺點

就行動裝置而言,SDK可以協助開發人員不需要再花費時間撰寫程式,並為與App核心無關的功能提供後端穩定性。隨著各式SDK的出現,多元的新功能讓App開發人員得以提供終端使用者更優異的特性,但隨著越來越多的協力廠商程式碼添加到App中,對於穩定工作、使用者資料的保護及效能控制的環境變得益發複雜。

在同一個App中使用多個SDK造成了「SDK 疲勞(SDK Fatigue)」現象,導致App更容易出現當機、病毒和惡意軟體感染、隱私外洩、極度耗電、速度變慢及許多其他問題。統計[1]指出,在單一App中使用多個SDK非常常見,平均每個App會使用超過18個SDK,但這種做法讓企業組織和使用者暴露在潛在風險中,攻擊者可以利用這些漏洞來干擾裝置的日常運行。

如何抵禦與預防SDK攻擊

對於安裝到員工裝置上的App,企業組織的IT安全人員雖然不必了解構建這些應用時所用 SDK 的精確細節,但應該意識到這種App的建構方式可能存在安全隱憂。人們常常認為安全App中使用的要素都是安全的,但上述小米內建App漏洞顯示事實並非如此。開發人員和企業都需要意識到,在一個手機App中內建兩種安全軟體並不一定會取得雙重保險的效果。

抵禦這種隱藏威脅的唯一措施是確保企業組織內的行動裝置免受潛在的中間人攻擊,而Check Point SandBlast Mobile可以檢測並防止此類攻擊,消除因在同一App中使用多個SDK 而造成的潛在威脅。更多相關資訊,請見Check Point Research。


相關文章:

Check Point發現Windows DNS潛藏17年的安全漏洞  [7/21/2020]
駭客能夠透過燈泡攻擊企業和家庭網路  [2/11/2020]
WiFi 數位相機可能遭勒索和惡意軟體攻擊  [8/14/2019]
駭客利用《冰與火之歌:權力遊戲》引發一系列惡意詐騙活動  [5/8/2019]
[「擇法善思林之蘭室藏津」的緣起]
駱麗真接手北美館思考法人化 蔡詩萍特別謹慎這樣說
中國大師賽》蘇力揚拍下台大高材生丁彥宸 晉級16強
都市傳說台東忠烈祠「半夜踢正步」 管理單位:很久沒聽說了
利空發布前先賣股 聯亞生技主管需賠投資人3960萬
「心理健康急救」開訓 衛福部拚2028年前佈建百處
高溫剝奪兒童遊戲權 民團籲降溫鋪面、普及戲水設施
結合地景地標成功推銷城市 高雄燈會明年續與人氣IP一起「賣萌」
中職》李東洺今再下二軍 鋒總:拉長休息天數
颱風、出國潮夾擊!水里玩水節人潮雪崩下滑 翻修拚重生
中職》最近2場復健賽敲5安 邱智呈下週回一軍
夾在2大股東間好無奈!魏啟林:他們沒仇恨、只是「奇摩子」不好
「小小聯合國:新住民青年設計展」即起在桃園設計庫展出到月底
愷樂淡出4年撇風波 當媽突脫口「懶得生氣懶得記仇」
新台幣連7黑!收30.728元創逾4個月新低
中職》張宥謙本週確定再先發 餅總坦言對上中信是考驗
[擇法善思林之蘭室藏津]