今日，云安全日報顯示，安全研究人員發(fā)現(xiàn)了三星(Samsung)的Find My Mobile（FMM）應(yīng)用程序6.9.25版中的漏洞。
他們發(fā)現(xiàn)這些漏洞可能使流氓應(yīng)用程序能夠劫持FMM應(yīng)用程序與其底層后端服務(wù)器之間的通信。
漏洞詳情
FMM應(yīng)用程序中的一小段舊代碼允許惡意應(yīng)用程序重定向其中一臺管理服務(wù)器的URL，并強制FMM應(yīng)用程序更新其所有支持服務(wù)器的多個地址。隨后，黑客可以使用遠程服務(wù)器執(zhí)行間接（MitM）攻擊并注入任意操作，劫持整個通信過程。通過利用應(yīng)用程序中的這些漏洞，攻擊可以執(zhí)行FMM支持的任何操作。例如使用惡意應(yīng)用程序?qū)⑹謾C恢復(fù)出廠設(shè)置，竊取短信和通話記錄，使用自定義圖釘和消息鎖定手機，定位用戶等
由于FMM支持廣泛的行動，因此攻擊場景可能從“簡單”的用戶監(jiān)視到設(shè)備中所有數(shù)據(jù)的災(zāi)難性擦除。僅通過MitM攻擊，攻擊者就可以永久監(jiān)視用戶，搶奪設(shè)備IMEI ，帳戶ID和其他幾個個人身份信息（PII）都是永久透明的，受害者永遠不會意識到發(fā)生了什么，在更嚴重的情況下，這可能會用于勒索軟件，從而將用戶鎖定在自己的控制范圍之外電話并要求贖金，甚至完全擦除設(shè)備數(shù)據(jù)。
付費"勒索"
黑客使用偽裝成流行應(yīng)用程序的惡意應(yīng)用程序劫持Android設(shè)備的威脅是非?，F(xiàn)實的。去年，CSIS安全小組的惡意軟件分析師發(fā)現(xiàn)了一個名為“三星更新”的假應(yīng)用程序，該應(yīng)用程序為三星手機提供了免費和付費的固件更新，下載次數(shù)超過一千萬。
但是，當用戶嘗試免費下載固件時，該應(yīng)用程序的真實身份憑證就被抓住了。免費固件更新的互聯(lián)網(wǎng)速度上限為56Kbps，這意味著用戶下載一個700MB軟件包最多需要四個小時。即使用戶允許以蝸牛的速度安裝固件，下載也永遠不會完成，并且會在一段時間后超時或失敗。同時，該應(yīng)用程序繼續(xù)播放一系列廣告，等待安裝固件包。然后，鼓勵用戶選擇“通過付費高級軟件包快速下載”，以更快的速度下載固件。該應(yīng)用程序?qū)@些軟件包的收費為34.99美元及以上，還為任何網(wǎng)絡(luò)運營商提供了SIM卡解鎖功能，起價為19.99美元。
受影響設(shè)備及版本
目前已知 Galaxy S7，Galaxy S8和Galaxy S9 Find My Mobile應(yīng)用程序6.9.25版中存在此漏洞
解決方案
通過官方渠道升級Find My Mobile應(yīng)用程序至最新版本即可修復(fù)
原創(chuàng)文章，作者：若安丶，如若轉(zhuǎn)載，請注明出處：http://2079x.cn/article/503326.html
