下载之家:专注下载8年,极速安全,用心打造!

下载之家首页 |最新软件 |软件排行 |软件专题

您当前所在位置: 下载之家 >  资讯 >  安卓专区 >  综合 >  百度SDK开发工具存在漏洞 导致数千应用中招

百度SDK开发工具存在漏洞 导致数千应用中招

时间:2015/11/03 15:26:23来源:下载之家作者:石头

导读:百度提供的一个软件工具开发包(SDK)被曝光存在后门,而黑客能够利用这一后门入侵客户的设备。这一SDK被用在了数千款安卓应用中。
百度SDK开发工具存在漏洞 导致数千应用中招

  【下载之家网讯】百度提供的一个软件工具开发包(SDK)被曝光存在后门,而黑客能够利用这一后门入侵客户的设备。这一SDK被用在了数千款安卓应用中。

  趋势科技的信息安全研究人员周二称,这一SDK名为Moplus。尽管没有公开推出,却这一SDK被集成至超过1.4万个应用,其中只有约4000个应用为百度开发。

  趋势科技估计,受影响的应用被超过1亿客户使用。根据该企业的分析,Moplus SDK在客户设备上启动了HTTP服务器。这一服务器没有使用任意验证机制,会接受网络上任意人的请求。

  更糟糕的是,通过向这一潜伏的HTTP服务器发送请求,攻击者可执行SDK中预定义的命令。这意味着攻击者能够获得位置数据与搜索重要词等敏感信息,并执行新增联系人、上传文件、拨打电话、显示伪造消息,以及安装应用等操作。

  在被root的安卓设备上,这一SDK允许应用的静默安装。这意味着,客户在没有看到任意确认消息的情况下,应用就可能被安装至设备。实际上,趋势科技的研究人员已发现了一种蠕虫病毒,利用这一后门安装客户不需要的应用。这一恶意软件工具名为ANDROIDOS_WORMHOLE.HRXA。

  趋势科技称,从多个方面来看,Moplus漏洞都要比今年早些时候安卓Stagefright库中发现的漏洞更严重。利用后一漏洞,攻击者至少需要向客户手机发送恶意的多媒体消息,或是欺骗客户打开恶意链接。而如果希望利用Moplus漏洞,那么攻击者能够扫描整个移动网络,搜索Moplus HTTP服务器开启的IP地址。

  百度已推出了新版SDK,删除了一部分命令。却趋势科技称,HTTP服务器目前仍会开启,而有些功能仍可能被滥用。

  百度一名发言人称,百度已修复了10月30日报告给该企业的全部信息安全漏洞。“关于趋势科技最新报告的可能存在问题的其余代码,在我们的修复之后已成为无用代码,不会产生影响。”

  这名发言人称,百度没有提供“后门”。而在该企业的下一版应用中,这些未激活代码将会被删除。但是目前的问题在于,第三方开发者将会在多长时间内用最新SDK去升级自己的应用。趋势科技列出的前20大受影响应用中包括非百度开发的应用,而其中有有一些仍在谷歌Play中提供下载。

更多0

相关阅读 讯飞输入法推出“随声译”功能:支持中英文同声传译 如何在安卓手机上实现“3D Touch”? 主流视频APP缓存机制分析:爱奇艺不可锁屏缓存 Android 6.0禁用悬浮窗口:哀声一片 手机杀毒软件排行2015 手机杀毒软件哪个最好用? 亚马逊允许第三方应用预览Kindle电子书样本 2016上半年金融类Apptop100随手记和卡牛入围 三星s5指纹解锁怎么设置?s5指纹解锁如何开启视频教程?三星s5指纹解锁使用教程