近日，一家名为Promon的挪威安全公司的研究人员，在安卓系统中发现了一个新的权限提升漏洞，黑客可以通过该漏洞获取你手机上几乎所有的App的访问权限。
Google给该漏洞分配的CVE编号为CVE-2020-0096，漏洞等级为高危。由于该漏洞与2019年发现的StrandHogg漏洞非常相似，Promon将该漏洞命名为——StrandHogg 2.0。
初代StrandHogg
首先，我们先来说说初代的 StrandHogg 漏洞。
StrandHogg1.0是在去年12月的时候，也是Promon的安全专家发现的，该漏洞可以影响数十个安卓App。黑客利用该漏洞，将恶意软件伪装成正常的App，且不会被用户发现，从而窃取用户的敏感信息，进而盗取用户***的账户余额。
StrandHogg这一词取自维京海盗的一种突袭战术，而该漏洞也像维京海盗突袭了大多数的安卓应用程序，因此被冠以这个名字。
当用户日常使用设备上的APP时，黑客利用该漏洞可以劫持APP，并向用户显示一个假的界面（例如登录界面、支付界面等）。用户在不知情的情况下，会在恶意APP中输入自己的账号密码等敏感信息，而黑客则可以悄无声息地窃取用户信息了，甚至利用这些敏感信息进行犯罪。
StrandHogg 2.0
安全研究人员报告CVE-2020-0096漏洞后，将其命名为StrandHogg 2.0。
这次的漏洞会影响Android 9.0及其以下的所有版本设备，并不会影响Android 10.0的设备，但据Google的官方数据，截至2020年4月，仍有91.8%的安卓活跃用户，差不多10亿安卓设备，运行的是Android 9.0及更早的版本。
与1.0版本相比，此次的StrandHogg 2.0漏洞允许黑客进行提权攻击，可访问设备上几乎所有已安装的应用程序。
StrandHogg 1.0一次只可以攻击一个应用程序，但是StrandHogg 2.0允许攻击者进行“动态攻击”。“只需按一下按钮就可以同时攻击指定设备上的所有应用程序”，而无需为每个目标应用程序进行预先配置。
除了能够通过伪造虚假的登录界面来窃取用户的账号信息外，恶意软件通过利用StrandHogg 2.0，一旦成功安装在用户的设备上，可通过伪装成合法App，诱骗用户允许软件获取权限，使得自己可以访问用户的短信和照片，窃取用户的登陆信息，追踪GPS移动，对手机通话进行录音，通过手机摄像头和麦克风监听手机。
研究人员还表示，“利用StrandHogg 2.0的恶意软件也将更难以被防病毒和安全扫描程序检测到，从而对最终用户构成重大危险。”
北卡科技·解决方案
虽然目前尚未发现有黑客利用StrandHogg 2.0 来攻击的证据，而且谷歌已经发布安全补丁来修复该漏洞，但仍不可以掉以轻心。
毕竟，既然能出现一次漏洞，我们无法保证后续是否还会出现类似的漏洞，这些漏洞十分隐晦，没有什么好方法进行检测，而且瞄准的是设备中的核心权限，设备一旦沦陷，个人隐私只能在黑客面前“裸奔”。
企业、政府机构以及军队人员的手机如果被黑客通过类似的漏洞入侵，手机上的机密文件、敏感信息将受到威胁，一旦这些机密被获取，可能将造成难以想象的损失。
而北卡科技推出的终端数据安全解决方案，企业、政府机构和军队的管理部门可对内部人员的手机进行移动终端管控，禁止安装不合规的APP等行为。
此外，还可对手机上的APP进行安全管控，监管其他APP获取手机权限的行为，以防越权获取个人隐私导致泄密。
如果您想获取试用资格，或者咨询更详细的信息，欢迎拨打北卡科技服务热线0591-22868893，北卡科技将为您提供高效、专业的技术支持，为您的通信安全保驾护航。
来源：freebuf.com 2020-06-03 09:08:40 by: beikatech
请登录后发表评论
注册