标签: 安卓

谷歌发布 2019 年 12 月的 Android 安全补丁

谷歌为其最新的 Android 10 移动操作系统系列发布了 2019 年 12 月的 Android 安全补丁,以解决一些最关键的安全漏洞。 由2019年12月1日和2019年12月5日安全补丁程序级别组成,2019年12月的Android安全补丁程序解决了Android组件,Android框架,媒体框架,Android系统,内核组件,以及高通的组件,包括封闭源代码的组件。 据悉,此更新中修复的最关键的安全问题会影响 Framework 组件,并可能允许远程攻击者永久拒绝服务。此外,其还修复了一个漏洞,该漏洞可能允许远程攻击者通过使用特制文件在特权进程的上下文中执行任意代码,并且该漏洞可能使具有特权访问权限的本地攻击者能够访问敏感数据。 与此同时,谷歌还发布了 2019 年 12 月的 Pixel Update 公告,以解决各种针对Pixel设备的安全漏洞和问题,以及 2019 年 12 月的 Android 安全公告中描述的安全漏洞。2019 年 12 月的 Pixel 更新公告包含针对内核组件和 Android 系统中发现的总共 8 个漏洞的修复程序。 目前,2019 年 12 月的 Android 安全公告和 2019 年 12 月的 Pixel 更新公告都将向所有受支持的 Pixel 设备推出,包括 Pixel 2,Pixel 2 XL,Pixel 3,Pixel 3 XL,Pixel 3a,Pixel 3a XL,Pixel 4 和 Pixel 4 XL。而在接下来的几周内,它还将可用于 Essential,Samsung,OnePlus 和更多制造商的其他 Android 设备。   (稿源:开源中国,封面源自网络。)

2019 年 11 月的 Android 安全补丁发布:共计修复38处漏洞

今天谷歌发布了2019年11月的Android安全补丁,在修复近期曝光的安全漏洞同时还带来了面向Android 10的BUG修复和后台优化。2019年11月的Android安全补丁共有2019-11-01和2019-11-05两个安全级别,共计修复了38处安全漏洞,涵盖存在于Android Framework, Android Library, Media framework, Android System, Kernel components和Qualcomm等诸多组件中的问题。谷歌敦促用户尽快安装2019年11月的Android安全补丁。 在本次修复的安全漏洞中,影响最严重的一个漏洞可以绕过用户的交互请求获得其手机最高权限,以便于在本地安装任意恶意程序。此外还有一个漏洞允许远程攻击者使用特制的提权文件来执行任意代码;还有能够一个漏洞允许远程攻击者使用特殊的数据传输来获取其他权限。 作为2019年11月Android安全补丁的一部分,谷歌今天还发布了2019年11月的Pixel更新,该更新解决了Linux内核组件,高通组件(包括封闭源组件),LG组件和Android Framework中的其他21个漏洞,适用于Pixel设备的功能,以及对受支持的Pixel手机进行各种改进的功能补丁。 其中Pixel 4和Pixel 4 XL的使用流畅度和相机有所改进。在Pixel 2,Pixel 2 XL,Pixel 3,Pixel 3 XL,Pixel 3a,Pixel 3a XL,Pixel 3上添加了对Xbox蓝牙手柄的支持;修复了Pixel 3,Pixel 3 XL,Pixel 3a和Pixel 3a XL在启动过程中卡住的情况;改善了Pixel 3的底部音箱质量以及改善Pixel 2、Pixel 2 XL,Pixel 3和Pixel 3 XL的Google Assistant热词检测。   (稿源:cnBeta,封面源自网络。)

Android NFC 漏洞可被黑客拿来传播植入恶意软件

ZDNet 报道称,近期曝光的一个 Android 漏洞,导致黑客能够利用设备上的近场接触(NFC)功能,向受害者传播植入恶意软件。CVE-2019-2114 漏洞报告指出,问题源自一项鲜为人知的 Android OS 功能,它就是 NFC Beaming 。所有运行 Android 8 Oreo 及以上版本的设备,都会受到影响。 据悉,NFC 广播通过设备内部的 Android OS 服务(Android Beam)来工作。 (截图 via ZDNet) 这项服务允许 Android 设备使用近场通讯(NFC)技术来替代 Wi-Fi 或蓝牙,将图像、文件、视频、甚至应用程序,发送到另一台设备上。 通常情况下,通过 NFC 传输的 APK 安装包会存储在设备上,并在屏幕上显示相关通知,询问用户是否允许安装未知来源的应用程序。 然而今年 1 月,一位名叫 Y. Shafranovich 的安全研究人员发现:在 Android 8(Oreo)或更高版本的系统上通过 NFC 广播来发送应用程序,并不会显示这一提示。 相反,该通知允许用户一键安装应用程序,而不发出任何安全警告。 尽管缺少一个提示,听起来似乎并不那么重要,但它还是成为了 Android 安全模型中的一个重大问题。 庆幸的是,谷歌已在 2019 年 10 月修复了这个影响 Android 设备的 NFC Beaming 漏洞。 “未知来源”的定义,特指通过官方 Play 商店之外安装的任何东西,其默认都被视为不受信任和未经验证。 若用户需要侧载外部应用,必须前往设置菜单,然后手动启用“允许从未知来源安装应用”。 Android 8 Oreo 之前,这项设置并没有什么问题。然而从 Android 8 Oreo 开始,谷歌将这种机制重新设计为基于 App 的设置。 在 CVE-2019-2114 漏洞中,Android Beam 竟然被列入了白名单,获得了与官方 Play 应用商店相同的信任权限。 谷歌表示,Android Beam 服务从来就不是安装应用程序的一种方式,而仅仅是一种在设备之间传输数据的方式。 即便如此,该公司还是在 2019 年 10 月的 Android 安全补丁中,将 Android Beam 踢出了这款移动操作系统中的受信任来源列表。 (图自:LG)   对于数百万仍处于危险之中的 Android 用户,我们在此建议大家尽快升级手机的安全补丁、或者尽量在不使用时关闭 NFC 和 Android Beam 功能。   (稿源:cnBeta,封面源自网络。)

无法删除的恶意软件 xHelper 持续感染大量安卓设备

过去几个月来,一些安卓用户被一款名为 xHelper 的恶意软件持续困扰,它的自动重新安装机制令人们束手无策。 xHelper 最早发现于 3 月。到 8 月,它逐渐感染了 32,000 多台设备。而截至本月,根据赛门铁克的数据,感染总量已达到 45,000。该恶意软件的感染轨迹不断上升。赛门铁克表示,xHelper 每天平均造成 131 名新受害者,每月约有 2400 名新的受害者。 根据 Malwarebytes 的说法,这些感染的来源是“网络重定向”,它会将用户发送到托管 Android 应用程序的网页。这些网站指导用户如何从 Play 商店外部间接加载非官方的 Android 应用。这些应用程序中隐藏的代码将下载 xHelper 木马。 好消息是该木马目前没有执行破坏性操作,多数时间它会显示侵入式弹出广告和垃圾邮件通知。广告和通知会将用户重定向到 Play 商店,并要求用户安装其他应用程序——通过这种方式,xHelper 从按安装付费的方式中赚钱。 恼人的是 xHelper 服务无法删除,因为该木马每次都会重新安装自身,即使用户对整个设备进行了出厂重置后也是如此。xHelper 如何在恢复出厂设置后得以生存仍然是个谜。不过,Malwarebytes 和赛门铁克均表示 xHelper 不会篡改系统服务和系统应用程序。 在某些情况下,用户说,即使他们删除了 xHelper 服务,然后禁用了“从未知来源安装应用程序”选项,它还是会在几分钟内重新感染设备。也有少数用户报告说使用某些付费的移动防病毒解决方案取得了成功。 赛门铁克在最新发布的博客文章中表示,该木马正仍在不断发展,定期发布的代码更新解释了为什么某些防病毒解决方案在某些情况下会删除 xHelper,而在更高版本中却不会。 同时,赛门铁克也作出警告,尽管该木马目前从事垃圾邮件和广告收入活动,但它还具有其他更危险的功能。xHelper 可以下载并安装其他应用程序,xHelper 团队可以在任何时候使用该功能来部署第二阶段恶意软件有效负载,例如勒索软件、银行木马、DDoS僵尸程序或密码窃取程序等。   (稿源:开源中国,封面源自网络。)

2019 年 7 月 Android 安全补丁发布:共计修复 33 处安全漏洞

面向所有尚处于支持状态的Pixel设备,谷歌于今天发布了2019年7月的Android安全补丁,在修复近期曝光的诸多安全问题之外还添加了各种功能改进。本次安全补丁共有2019-07-01和2019-07-05两种安全级别,共计修复了33处安全漏洞,涉及Android系统、框架、库、媒体框架以及包括闭源部分的高通组件等。 在安全公告中写道:“本月修复的安全漏洞中最严重的问题就是媒体框架中的一个关键安全漏洞,它能够让远程攻击者使用特制的文件来执行包含特权进程的任意代码。对该漏洞的严重性评估是基于该漏洞对设备的影响程度而划定的。” 除了安全更新之外,2019年7月的Android安全补丁还修复了Pixel设备上报告的诸多BUG。例如,改善了Pixel 2、Pixel 2 XL、Pixel 3、Pixel 3 XL、Pixel 3a、Pixel 3a XL上的“OK Google”热词和音乐检测功能,并且修复了Pixel 3和Pixel 3 XL上的开机卡死问题。 此外,谷歌还修复了Pixel 3,Pixel 3,XL,Pixel 3a和Pixel 3a XL在EDL模式卡死在黑屏上的问题;在Pixel,Pixel XL,Pixel 2,Pixel 2 XL上改进了对Unicode日语支持;在Pixel 3,Pixel 3 XL,Pixel 3a和Pixel 3a XL设备上改进了Titan M模组的性能。 2019年7月的Android安全更新现面向所有支持的Pixel设备推送,包括Pixel 2,Pixel 2 XL,Pixel 3,Pixel 3 XL,Pixel 3a和Pixel 3a XL。此外Essential、索尼等其他主要手机厂商也会在近期内为用户提供。 访问:https://source.android.com/security/bulletin/2019-07-01.html   (稿源:cnBeta,封面源自网络。)

自 Android Q 开始 谷歌将要求所有安卓设备启用磁盘加密

在过去很长一段时间里,Android系统通过存储加密方式来加密用户的数据。尽管这是保护数据的常规方式,但主要依赖于硬件实现,因此在过去谷歌并没有在Android设备中严苛执行存储加密。不过谷歌在Android Q中引入了全新的安全技术,能够让任意Android设备无需硬件辅助实现加密。 在加密手机磁盘的时候Android支持Advanced Encryption Standard标准,但这需要依靠专用的硬件来提供快速和高效的解决方案。对于装备ARMv8处理器的中高端手机来说这自然没有问题,但是对于入门手机、智能手表甚至是智能电视来说就没有那么幸运了。 去年2月份的时候,谷歌推出了全新的Adiantum加密模式。简单来说就是使用HTTPS加密的概念和算法提供快速和安全的加密,而不需要依赖SoC上的专用加密硬件。谷歌承认这项技术依然是新技术,但是对它的安全性充满信心,并有望彻底改变Android的安全规范。 自Android Q开始,所有Android设备都需要加密用户数据,这包括Wear OS、Android TV和Android Automotive。拥有专用硬件的Android设备会依然继续使用AES加密,而不会回退使用Adiantum。   (稿源:cnBeta,封面源自网络。)

新漏洞 RAMpage 曝光:可影响 2012 年以来几乎所有安卓设备

据外媒报道,自2012年以来的几乎所有Android设备可能被名为RAMpage的新漏洞的影响,该安全漏洞标记号为CVE-2018-9442,是数年前曝光的Rowhammer攻击的一个变种。RAMpage 是一套影响最新安卓系统的基于DMA的Rowhammer攻击,包括一个root漏洞利用,以及可绕过全部防御措施的一系列应用利用场景。 此前曝光的Rowhammer利用了DRAM物理内存卡硬件弱点,实现比特翻转攻击,利用硬件弱点而不是Android漏洞让一个没有权限的应用获得了设备的Root权限,影响大量Android设备,修复这个漏洞非常困难。   稿源:cnBeta,封面源自网络;

谷歌发布下一代安卓系统 Android Oreo

谷歌于 8 月 22 日正式发布下一代安卓操作系统 Android Oreo(奥利奥)。新系统将带来从改进的提醒系统到画中画支持,再到全新 emoji 的多项新功能。新系统将带来一项类似 iOS 的名为 Notification Dots(相当于应用角标),提醒用户哪个应用有新的内容可以显示。长按某个应用图标现在可以显示一些信息,比如最新收到的提醒等,与 iOS 上的 3D Touch 类似。 “画中画”支持用户在使用其他应用时继续观看视频,还为用户带来自动填写用户资料的功能,方便注册视频服务的用户。另外,新系统还带来了诸多 Unicode 10 标准的表情符号。 尽管谷歌自家的 Pixel 和 Nexus 手机的用户可以很快获得升级,但其他安卓用户想要升级至 Oreo 系统就需要等上一段时间了。要知道上一代安卓系统“牛轧糖”到现在的用户安装率也只有 13.5%,该系统已经发布一年了。大部分安卓用户目前还在使用 2、3 年前发布的 Android 5.0 Lollipop 和 Android 6.0 Marshmallow。这与 iOS 用户的体验形成了鲜明对比。 可升级 Android 8.0 机型列表: ○ Nexus 5X ○ Nexus 6P ○ Nexus Player ○ Pixel C ○ Pixel (Telstra、Rogers、TMO、Sprint、USCC、Project Fi) ○ Pixel (other carriers) ○ Pixel XL (Telstra、Rogers、TMO、Sprint、USCC、Project Fi) ○ Pixel XL (other carriers) 稿源:cnBeta、MacX,封面源自网络;

工信部成立安卓统一推送联盟,结束混乱状态

继整治安卓手机预装应用之后,工信部旗下的中国信息通信研究院泰尔终端实验室又宣布,将成立 “ 安卓统一推送联盟 ”,打击安卓系统和应用消息推送的混乱状态。泰尔实验室表示,将在国内联合多家厂商,制定安卓统一推送服务( Unified Push Service/UPS)技术标准,旨在为国内的安卓消息推送服务建立统一的标准,为终端用户提供更好的使用体验,同时为应用开发者更好解决消息推送需求。 据悉,在新标准下,安卓手机接收到消息后,无需频繁唤醒应用,从而能够大大减轻对用户的骚扰,并节省手机内存、电量,体验更接近苹果 iOS。目前,该标准已经进入厂商招募阶段。 泰尔实验室近期放出英雄帖,邀请安卓生态业内公司,参与安卓统一推送联盟,从事与安卓产业相关的服务或开发的产业人士、运营商、设备制造商均可参与。据了解,华为、OPPO、vivo、小米、三星、魅族、金立、nubia、Google 等手机厂商,百度、阿里巴巴、腾讯等互联网厂商,个推、极光等推送技术服务商,都已经加入了 UPS 标准的制定工作,自然最有希望成为安卓统一推送联盟的第一批会员。 稿源:cnBeta、快科技;封面源自网络

Check Point 监控发现中国黑客利用假基站传播安卓银行木马

Check Point 软件技术公司的安全研究人员发现中国黑客进一步加强了 Smishing(短信诈骗)  攻击水平,肆意使用假基站发送伪造短信传播安卓银行恶意软件“ Swearing Trojan ”。 smishing (短信诈骗)是指用类似于网络钓鱼的社会工程学技术实施犯罪行为的一种形式,名字来源于 SMs phishing(短信息服务诈骗)。(有道翻译) 据报道,犯罪分子将短信的来源伪装成中国移动和中国联通两大运营商,然后通过安装在移动基站上的设备发送虚假信息,诱导用户下载恶意应用程序到智能手机,窃取受害者敏感信息。用户一旦下载安装恶意应用程序,恶意软件 Swearing Trojan 会立即向受害者的联系人自动发送网络诈骗短信传播恶意软件。 调查表明,为避免任何恶意行为的检测,Swearing Trojan 不连接任何远程命令和控制( C&C )服务器。相反,它使用短信或电子邮件方式将盗窃数据发送给黑客,不仅提供了良好的通信覆盖,还阻止了恶意行为的追踪。目前,该恶意软件主要针对中国用户,但 Check Point 研究人员表示,倘若其他地区攻击者采取该恶意软件行为可能会在全球范围内迅速蔓延。 原作者:Swati Khandelwal, 译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接