安全企业 CheckPoint 最新报告称，谷歌 Play 商店中的 200 多款应用，都被恶意广告代码给感染。进一步的分析发现，这可能导致设备在应用外强行显示广告、引导用户到某些网站和应用商店链接、甚至下载新的 App 。在向谷歌提交了恶意软件报告后，官方已经将它们从商店中移除。但根据 Play 商店的统计数据，其已经累积被下载了近 1.5 亿次。 【糟糕的应用软件，在不断地涌入谷歌 Play 商店】 攻击图例（来自：CheckPoint） 据悉，通过隐藏恶意代码，发布者将这些软件伪装成了合法的广告软件。但若你以为它们只会弹广告，那就大错特错了。调查发现，这类广告软件在 Play 商店中广泛存在，涵盖了诸多不同的应用和游戏。 疑似命令与控制服务器的相关代码（来自：CheckPoint） 在被恶意代码感染的流星软件中，模拟类游戏成为了一个重灾区。其中包括重型挖掘机、农业拖拉机、山地巴士、海洋动物 / 卡车运输等稀奇古怪名字的模拟器。 【Check Point 将这类恶意广告软件命名为 SimBad】 隐藏图标代码，删除谈何容易？（图自：CheckPoint） 更可恶的是，该恶意软件还暗藏了隐藏图标的代码，从而加大了用户想要查找和清除它们的难度。作为平台方，谷歌本应肩负起应用审核的责任，但它显然没有苹果 App Store 那样严格和彻底。 在疯狂弹送广告的同时，SimBad 甚至会通过色情广告的形式，引诱用户下载更多的 App 。或者滥用系统权限，劫持设备，将之用于分布式拒绝服务（DDoS）攻击。 后台广告启动代码（图自：CheckPoint） 回想去年，谷歌声称其在检测问题 App 方面取得了“重大进展”，能够在安装前拦截并移除 99% 的有害应用。 但 SimBad 的存在事实，表明这场攻防战永无终点。要让 Android 用户安全访问 Play 商店，谷歌显然还有很多事情要去完善。     （稿源：cnBeta，封面源自网络。）

在病毒肆虐的Android平台上，很多消费者可能希望下载和安装防病毒产品来提供更妥善的保护。然而在对250款Android防病毒软件进行测试之后，发现这些所谓的安全APP功能含糊，不够安全甚至完全没有防护能力。独立评测机构AV-Comparatives近期对市场上的防病毒APP进行了大规模测试，发现均无法有效正确的保护用户。 AV-Comparatives测试了2000款恶意APP，结果发现只有不到十分之一的APP能够完全检测出这些恶意程序，而超过三分之二的防病毒APP识别恶意程序数量没有达到30%。AV-Comparatives采用了和因斯布鲁克大学合作自动测试程序，并使用物理Android手机并非模拟器来确保测试结果的精准性。 AV-Comparatives创始人兼首席执行官Andreas Clementi表示：“尽管去年市场上的Android安全应用数量有所增加，但是我们的测试结果发现只有极少比例的应用程序可以提供有效的保护。去年我们也做过相同的测试，发现有三分之一的安全应用检测的恶意程序样本低于30%，而今年这个数字达到了三分之二。Google Play商城应用页面的用户评级可能表明这款安全应用程序是否易于使用，但是普通用户无法确定检测结果是否真实。我们的测试报告可让您了解哪些程序可以保护您的Android设备，而不会出现误报。” 如果您想确保您的设备受到适当保护，那么有23个应用程序可以实现100％检测，14个应用程序管理超过99％。如果你想要了解更多信息，可以访问AV-Comparatives。     （稿源：cnBeta，封面源自网络。）

Google在周四的一篇博客文章中称，已有5年历史的Android安全计划帮助修复了Play商店中超过100万个应用程序。当应用程序提交到Google Play商店时，应用程序安全性改进计划的成员将扫描它们是否存在漏洞。如果没有任何问题，应用程序会在Play商店中显示之前进行进入正常测试阶段。 如果出现问题，团队会将应用程序标记给人员并帮助他们修复它，而他们还将提供诊断和后续步骤。 到目前为止，该计划已帮助超过30万名开发人员修复了超过100万个应用程序。就在去年，该计划帮助超过30000名开发人员修复了超过75000个应用程序。这意味着那些易受攻击的应用程序无法提供给存在安全问题的用户。 该公司在博客文章中写道：“保持Android用户的安全对Google来说非常重要。” “我们知道应用程序安全性通常很棘手，开发人员可能会犯错。我们希望看到这个程序在未来几年内不断发展，帮助全球开发人员构建用户真正信任的应用程序。” 本月早些时候Google表示，Play商店每天会在用户设备上扫描超过500亿个应用，以查找和阻止不良应用。 2017年，该公司表示已从Google Play商店中删除了超过70万个不良应用。在2018年，它拒绝了超过55％的应用程序提交量。 App Security Improvement计划涵盖了Android应用中的各种安全问题。这些可以与特定版本的流行库（例如：CVE-2015-5256）中的安全性问题一样具体，也可以与不安全的TLS / SSL证书验证一样广泛。 通过改进现有检查并启动对更多类安全漏洞的检查，不断改进该计划的功能。在2018年，Google为另外六个安全漏洞类别部署了警告，包括： SQL注入 基于文件的跨站点脚本 跨应用程序脚本 泄露的第三方证书 计划劫持 JavaScript接口注入     （稿源：cnBeta，封面源自网络。）

Google 公布了史上第一份 Android 生态系统安全报告（Android Ecosystem Security Transparency Report），这是一份季报，内容来自于 Google Play Protect 所检测到的“可能存在危险的应用程序”（（Potentially Harmful Applications，PHA），内容显示 Google Play 下载的应用程序比其他渠道安全9倍。 之前，Google 会提供 Android 年度安全报告，其中包含Android 系统安全趋势、Google 提供的 Android 漏洞奖金，以及在 Android 上提供的保护机制等。而此次季度报告主要针对 PHA。 Android 内置的 Google Play Protect 平均每天扫面500亿的应用，当发现可能存在危险的应用时，就会对使用者提出警告，并允许使用者关闭或下载该程序。每季的季度报告都提供三项指标，分别是 PHA 的来源（Google Play 及非 Google Play），各种 Android 版本所包含的 PHA 比率，以及不同国家的 Android 系统的 PHA 比率。 Google 表示，从 Google 下载程序的 Android 设备，只有 0.09% 会识别到 PHA，今年前三季下降到了 0.08%；相比之下，从包含 Google Play 和第三方应用市场下载程序的设备，检测到 PHA 的比率高达 0.82%，不过，今年前三年也出现了下滑，数值到 0.68%。 Google 还表示，越新的 Android 系统检测到 PHA 的比率越低，如，棒棒糖（Lollipop，Android 5.0）检测到 PHA 的比率 > 棉花糖（Marshmallow，Android 6.0）> 牛轧糖（Nougat，Android 7.0）>奥利奥（Oreo， Android 8.0）> 最新的“派”（Pie，Android 9.0）。 Google 解释说，这是因为公司持续加强 Android 平台和 API，加上常规平台和程序更新，也限制了程序对机密信息的访问。此外，包括Nougat，Oreo 和 Pie都更能够承受权限扩展攻击，让过去尝试扩展权限以避免被删除的 PHA 无处遁形。 而在 Android 的前十大市场，至少安装一个 PHA 的装置百分比中，以印度，印尼及美国的比率最高。 完整的安全生态报告看这里。   稿源：开源中国，封面源自网络；

讯 北京时间9月12日早间消息，据《华盛顿邮报》援引知情人士消息称，美国亚利桑那州正在调查谷歌追踪用户地理位置时采取的措施。如果此项调查发现谷歌侵犯用户隐私，该州总检察长马克·布诺维奇（Mark Brnovich）就有可能对谷歌处以高额罚款。 目前布诺维奇的办公室并未确认此事。 美联社上月的一项研究发现，谷歌通过Android设备提供的服务会追踪并存储用户的地理位置，即便用户在隐私设置中关闭地理位置历史也无济于事。 据悉，谷歌应用会存储带有时间戳的定位数据，借此发布精准的地理定位广告。谷歌对美联社表示，他们让用户了解这些定位数据获取工具，并且提供了“强大的控制，让人们可以自行打开或关闭功能，或者随时删除历史。” 布诺维奇可能将此事作为一起消费者保护官司进行起诉，并按照违规次数寻求每次最高1万美元的罚款，这有可能导致谷歌面临巨额处罚。 谷歌发言人对此发表声明称：“地理定位信息帮助我们在人们跟我们的产品互动时提供有用的服务，例如跟本地相关的搜索结果和交通预测。谷歌可以通过很多方法使用地理定位数据来改进用户体验，包括：定位历史、上网和应用活动，以及通过设备层面的定位服务来实现。人们可以随时通过myaccount.google.com删除定位历史或者上网和应用活动。”   稿源：，稿件以及封面源自网络；

近日 Nightwatch Cybersecurity 的安全研究专家 Yakov Shafranovich 发现了 Android 系统中存在的漏洞，能够让网络攻击者秘密捕获 WiFi 广播数据从而追踪用户。这些数据涵盖 WiFi 网络名称、BSSID、本地 IP 地址、DNS 服务器数据以及 MAC 地址，尽管后者在 Android 6 及更高版本中就已经通过 API 来隐藏掉了。 常规 APP 通常会用于合法目的来截取这些数据。但流氓 APP 在窃听这些数据之后，极有可能会导致敏感数据的泄露。攻击者可能会用于发起针对本地 WiFi 的网络攻击，以及使用 MAC 地址来追踪指定的 Android 设备。此外使用数据库查找，还可以通过网络名称和 BSSID 进行地理标记。 研究人员表示“虽然系统中对于阅读此类消息的功能进行了严苛的限制，但应用开发者往往忽略了如何正确的部署这些限制以及如何更好的保护敏感数据。这在 Android 系统中 APP 比较普遍，一旦设备被恶意 APP 感染，就会被黑客处于监听的状态，并且截取其他 APP 的广播信息。”   稿源：cnBeta.COM，封面源自网络；

讯 北京时间8月21日早间消息，谷歌在一桩最新的法律诉讼中被指非法追踪成百上千万iPhone和Android智能手机用户的活动，哪怕用户试图利用隐私权设置来避免被追踪也不例外。 根据上周五提起的一桩诉讼，谷歌欺骗性地向用户保证，如果他们将手机上的“位置历史”（Location History）功能设置为“关闭”，那么就不会被追踪；但在实际上，谷歌则仍会监控和存储用户的活动，从而侵犯 了其隐私权。 这桩诉讼的原告方是来自圣地亚哥的拿破仑·帕塔希尔（Napoleon Patacsil），他在向旧金山联邦法庭提起的诉讼中指称：“谷歌表示用户‘可在任何时候关闭位置历史功能，当此功能关闭时，你们去的地方就不会再被存储下来’，但这并非事实。” 帕塔希尔正寻求代表关闭了追踪功能的美国iPhone和Android智能手机用户对谷歌发起集体诉讼，要求谷歌为故意违反加利福尼亚州隐私权法和侵犯用户私人事务支付数额不明的赔偿金。 美联社曾在8月13日刊文，对谷歌被指追踪用户活动一事作出过描述，该报当时指出普林斯顿大学的计算机科学研究人员证实了此事。 谷歌周一并未就此置评，代表帕塔希尔的律师事务所Lieff Cabraser Heimann & Bernstein合伙人迈克尔·索博尔（Michael Sobol）也尚未置评。 帕塔希尔指称，谷歌先是在他使用Android手机时对其进行了非法追踪，随后当他改用iPhone并下载了一些谷歌应用后，谷歌又对他进行了追踪。 他说道，谷歌的“主要目标”是“秘密监控”手机用户，并允许第三方也这样做。 根据谷歌网站帮助页面现在的说法，关闭“位置历史”功能“不会影响到其他位置服务”，并表示有些位置数据可能通过搜索和地图等其他服务被存储下来。   稿源：，稿件以及封面源自网络；

据《连线》网站报道，研究人员发现，数以百万计的 Android 设备出货之时便存在固件漏洞，容易受到攻击，用户可以说防不胜防。智能手机因安全问题而崩溃往往是自己造成的：你点击了错误的链接，或者安装了有问题的应用。但对于数以百万计的 Android 设备来说，这些漏洞早就潜藏于固件当中，被利用只是迟早的问题。这是谁造成的呢？在某种程度上，制造设备的制造商和销售设备的运营商都有责任。 这是移动安全公司 Kryptowire 的最新研究分析得出的主要结论。Kryptowire 详细列出了在美国主流运营商销售的 10 款设备中预装的漏洞。Kryptowire 首席执行官安杰罗斯·斯塔夫鲁（Angelos Stavrou）和研究总监莱恩·约翰逊（Ryan Johnson）将在周五的 Black Hat 安全会议上展示他们的研究成果。该项研究是由美国国土安全部资助的。 这些漏洞的潜在后果可大可小，比如锁住设备让机主无法使用，秘密访问设备的麦克风和其他的功能。       “这个问题不会消失。”—— Kryptowire首席执行官安杰罗斯·斯塔夫鲁 Android 操作系统允许第三方公司根据自己的喜好改动代码和进行定制，而那些固件漏洞正是这种开放性的副产品。开放本身没有什么问题；它让厂商能够寻求差异化，给人们带来更多的选择。谷歌将在今年秋天正式推出 Android 9 Pie ，但最终该新系统将会有各种各样的版本。 不过，那些代码改动会带来一些令人头痛的问题，其中包括安全更新推送的延迟问题。正如斯塔夫鲁和他的团队所发现的，它们还可能会导致固件漏洞，将用户置于危险当中。 “这个问题不会消失，因为供应链中的许多人都希望能够添加自己的应用程序，自定义定制，以及添加自己的代码。这增加了可被攻击的范围，增加了软件出错的可能性。”斯塔夫鲁指出，“他们让终端用户暴露于终端用户无法应对的漏洞当中。” Kryptowire 在 Black Hat 上的讲话聚焦于来自华硕、LG、Essential 和中兴通讯的设备。 Kryptowire 的研究关注的并不是制造商的意图，而是整个 Android 生态系统的参与者共同造成的广泛存在的代码低劣问题。 以华硕 ZenFone V Live 为例，Kryptowire 发现，该款手机的整个系统都被接管控制，包括对用户屏幕的截图和视频录像、打电话、浏览和修改短信等等。 “华硕意识到最近 ZenFone 的安全问题，正努力通过软件更新来加快解决问题，软件更新将无线推送给 ZenFone 用户。”华硕在一份声明中表示，“华硕致力于保障用户的安全和隐私，我们强烈建议所有的用户更新到最新的 ZenFone 软件，以确保获得安全的用户体验。” 现阶段，要解决自己造成的烂摊子，推送更新是华硕唯一能够做的。但斯塔夫鲁对这种修补过程的有效性表示怀疑。“用户必须要接受并安装这个补丁。所以即使他们把它推送到用户的手机上，用户可能也不会去安装更新。”他说道。他还指出，在 Kryptowire 测试的一些机型上，更新过程本身就被中断了。这一发现也得到了德国安全公司 Security Research Labs 最近的一项研究的支持。 Kryptowire 所详述的攻击基本上都需要用户去安装应用。然而，虽然正常来说可以通过一个不错的方法来规避潜在的攻击，即坚持使用谷歌官方应用商店 Google Play 来下载应用，但斯塔夫鲁指出，让这些漏洞变得如此有害的是那些应用程序在安装时并不需要授予特别的权限。换句话说，应用程序不必诱使你提供访问你的短信和通话记录的权限。得益于存在缺陷的固件，它可以轻而易举地、悄无声息地获取你的短信和通话记录。 攻击最终可能会导致各种各样的后果，具体要看你使用的是什么设备。就中兴 Blade Spark 和 Blade Vantage 而言，固件缺陷会允许任何应用程序访问短信、通话数据和所谓的日志记录（收集各种系统消息，可能包括电子邮件地址、GPS 坐标等敏感信息）。在 LG G6（Kryptowire的研究报告中最流行的一款机型）上，漏洞可能会暴露日志记录，或者被用来锁定设备让机主无法访问。攻击者还可能会重置 Essential Phone 手机，清除它的数据和缓存。 “在我们意识到这个漏洞以后，我们的团队立即进行了修复。” Essential 公关主管莎丽·多尔蒂（Shari Doherty）说道。          你完全无法自己去解决问题，也无法早早发现问题的存在。 LG 似乎已经解决了一些潜在的问题，但还没有完全解决。“ LG 此前了解到了这些漏洞，并已经发布了安全更新来解决这些问题。事实上，报告提到的漏洞大多数都已经被修补，或者已经被纳入即将到来的与安全风险无关的定期维护更新。”该公司发表声明称。 至于中兴通讯，该公司在一份声明中表示，它“已经推送安全更新，今天也在与运营商合作推送修复这些问题的维护更新。中兴通讯将继续与技术合作伙伴和运营商客户合作，未来持续提供维护更新，继续保护消费者的设备。” AT&T 的一位发言人证实，该运营商已经“部署了制造商的软件补丁来解决这个问题”。Verizon 和 Sprint 没有回复记者的置评请求。 这一连串的声明显示出了进展，但也凸显了一个关键的问题。斯塔夫鲁说，这些更新可能需要几个月的时间来创建和测试，需要经过从制造商到运营商再到客户的多重检验。在你等待更新的过程中，你完全无法自己去解决问题，也无法早早发现问题的存在。 “有一点是可以确定的，那就是没有人保障消费者的安全。”斯塔夫鲁指出，“该漏洞问题在系统中根深蒂固，消费者可能无法判断它是否存在。即使他们意识到它的存在，他们也毫无办法，只能等待制造商、运营商或任何更新固件的人来提供帮助。” 与此同时，这一发现只是 Kryptowire 最终将公开的诸多发现中的第一个发现。(为了让各家企业足够的时间做出反应，它还没有公开全部的发现。) “我们要感谢 Kryptowire 的安全研究人员为加强 Android 生态系统的安全性所做的努力。他们所概述的问题并不影响 Android 操作系统本身，但是会影响设备上的第三方代码和应用程序。”谷歌发言人在声明中称。 第三方代码和那些应用程序短期内似乎还不会消失。只要它们还在那里，那些令人头痛的潜藏隐患就还会存在。     稿源：网易科技，封面源自网络；

讯 北京时间7月20日早间消息，据彭博社报道，谷歌正在悄然开发的手机和平板电脑操作系统Fuchsia可能会在5年内取代Android和Chrome OS。 但据CNBC了解，实际上谷歌并未制定什么5年计划。报道称，谷歌CEO桑达尔·皮查伊（Sundar Pichai）以及Android和Chrome业务负责人希罗什·洛克海姆（Hiroshi Lockiheimer）尚未批准任何“路线图”。谷歌发表简短声明称，Fuchsia只是该公司的“诸多实验性开源项目之一”，但拒绝进一步置评。 彭博社从消息人士处获悉，Fuchsia团队自己的工程师认为他们可以从小目标开始，先让Fuchsia系统在3年内登陆Google Home智能音箱等智能家居设备，随后再进军笔记本，最后才是手机。但谷歌并未证实这种技术可能在何时问世。 这可能是谷歌为手机、平板电脑和PC打造单一操作系统的一种方法，该公司在过去多年时间里一直都想要做到这一点；同时也可借此避免在未来遭到起诉，这是因为Fuchsia的基础代码与Android不同。另外，谷歌还可通过这种方法来解决Android系统的碎片化问题（也就是用户不能指望Android手机能拥有相同的功能），这个问题困扰谷歌已有多年。 但对谷歌来说，抛弃Android并非易事。据一位消息人士向彭博社透露，谷歌对这个想法可能没那么认真。该消息人士称，这是一个为了“留住高级工程师的项目”，旨在让谷歌的人才有事可做，这样一来就不会离职转投谷歌竞争对手的公司了。   稿源：，稿件以及封面源自网络；

彭博社报道，谷歌短短一年内第二次遭到欧盟的反垄断罚款，这一次是被控使用Android手机软件阻碍竞争。欧盟委员会要求该公司支付约43亿欧元（50亿美元）罚款。而在此之前，他们曾在2017年6月要求其因为偏向自家比较购物服务而支付24亿欧元罚款。 欧盟似乎不会就此罢休——第三起调查仍在进行之中，这一次的目标是广告合同，欧盟认为谷歌制定的这类合同限制性太强。 究竟是如何发展到如今的地步？以下就是谷歌与欧盟自2010年以来的这场“8年恩怨”的时间表： 2010年2月：刚刚出任欧盟反垄断负责人的乔奎因·阿尔穆尼亚（Joaquin Almunia）告诉谷歌，他收到来自英国购物Foundem、微软旗下Ciao部门和法国搜索服务eJustice的投诉。 2010年11月30日：欧盟委员会宣布对谷歌涉嫌滥用其网络搜索市场主导地位一事展开调查。欧盟表示，他们怀疑谷歌降低竞争对手在比价服务等垂直搜索结果中的排名。欧盟还担心谷歌在广告合同中施加的限制措施。 2013年1月3日：在谷歌承诺改变部分行为后，美国联邦贸易委员会（FTC）完成了对谷歌搜索和广告行为的反垄断调查。 2013年2月1日：阿尔穆尼亚宣布谷歌提交完整的反垄断和解协议。 2013年4月9日：一个代表微软、Expedia和诺基亚的组织针对谷歌Android系统提交反垄断投诉。该组织表示，欧盟应该调查谷歌在移动市场“阻碍竞争的欺骗行为”。 2014年2月5日：阿尔穆尼亚表示，谷歌提出的和解协议承诺在其自己的专业搜索结果中展示竞争对手的结果。 2014年5月20日：德国和法国部长致信阿尔穆尼亚，批评他的和解计划。 2014年9月10日：阿尔穆尼亚表示，双方未能在两年既定时间内达成和解。 2014年11月1日：新的欧盟竞争专员玛格丽特·维斯塔格（Margrethe Vestager）上任。短短几周内，欧盟又开始对谷歌竞争对手展开问询。 2014年11月27日：欧洲议会投票通过一项决议：倘若欧盟无法解决针对谷歌的反垄断调查，就应该迫使谷歌分拆。但该投票不具有约束力。 2015年4月15日：欧盟升级搜索案，向谷歌发送正式的“异议声明”，指控该公司在通用搜索结果页面中系统性地偏向自家购物比较产品。维斯塔格也对Android手机和平板电脑展开新的调查。 2015年11月13日：Yandex刚刚在俄罗斯取得了与谷歌反垄断官司的胜利，该公司表示，他们将把这场斗争引入欧盟，希望迫使这家美国竞争对手不再把搜索捆绑在Android手机上。 2016年4月20日：欧洲升级Android调查，指控谷歌采取限制性合同，阻止平板电脑和手机厂商添加与之竞争的应用和网络浏览器。欧盟委员会称，该公司还向手机厂商和电信运营商支付费用，使之只能在手机上安装谷歌的搜索应用。 2016年7月14日：谷歌AdSense for Search成为第三项收到欧盟“异议声明”的谷歌服务。与此同时，欧盟也升级了搜索调查，对其发出了第二组异议声明。 2016年11月10日：谷歌表示，Android调查威胁到该公司向手机厂商提供免费软件的能力。他们之前还曾抨击欧盟此次调查“根本不适应多数人的网络上购物方式”。 2017年4月27日：谷歌与俄罗斯就Android反垄断案达成和解，同意放弃任何竞争性搜索引擎或应用的预装。该协议使得俄罗斯搜索公司Yandex也可以预装在Android设备中。 2017年6月27日：欧盟对谷歌开出24亿欧元的创纪录罚单，原因是该公司不公平地歧视与之竞争的比较购物服务。谷歌被要求在90天内停止非法行为，并寻找一种方式来平等对待竞争对手，否则就会面临更多罚款。 2017年9月11日：谷歌提交上诉。 2017年9月27日：谷歌改变欧洲的购物搜索结果显示方式，以避免欧盟的罚款威胁。该公司表示，他们将允许竞争对手竞拍其搜索结果顶部的广告位，而谷歌购物也必须在没有母公司财务帮助的情况下参与竞价。 2017年11月7日：Foundem表示，谷歌正在“自找”大约每天1200万美元的罚款，并指控该公司没有按照欧盟的要求公平对待竞争对手。 2018年5月22日：Yelp针对谷歌在本地搜索领域的行为发起新的反垄断投诉。 2018年6月18日：维斯塔格表示，谷歌展示的来自竞争对手的广告似乎有所增多。但她表示，目前就判断该公司是否采取了足够措施以避免更多罚款还为时尚早。 2018年7月18日：欧盟指控谷歌在Android应用领域采取的措施违法，对其罚款43亿欧元。该公司必须在90天内做出调整，否则会面临进一步罚款。   稿源：cnBeta，封面源自网络；