本帖最后由 DapFlog 于 2022-12-2 17:41 编辑
Samsung、LG、xiaomi、mediatek、anydesk的证书被发现用来签署恶意 Android 应用程序。 根据Android 的共享用户 ID 机制，这些恶意程序安装后具有与 Android 操作系统进程相同的权限。
不要安装来路不明的Android程序
https://twitter.com/maldr0id/status/1598068216391405568
https://bugs.chromium.org/p/apvi/issues/detail?id=100
看到新闻了：
https://9to5google.com/2022/12/0 ... ty-leak-samsung-lg/
机翻：
主要的 Android 安全漏洞使三星和其他设备容易受到危险恶意软件应用程序的攻击
一个重大的安全漏洞导致创建了“受信任的”恶意软件应用程序，这些应用程序可以访问三星、LG 和其他公司设备上的整个 Android 操作系统。 问题的核心在于，多家 Android OEM 的平台签名密钥已泄露到各自公司之外。此密钥用于确保您设备上运行的 Android 版本是合法的，由制造商创建。同样的密钥也可用于签署单个应用程序。 按照设计，Android 信任任何使用与操作系统本身签名相同的密钥签名的应用程序。拥有这些应用程序签名密钥的恶意攻击者将能够使用 Android 的“共享用户 ID”系统在受影响的设备上为恶意软件提供完整的系统级权限。本质上，攻击者可以获取受影响设备上的所有数据。 值得注意的是，这个 Android 漏洞并不仅仅发生在安装新的或未知的应用程序时。由于这些泄露的平台密钥在某些情况下还用于签署常见应用程序——包括至少一些三星手机上的 Bixby 应用程序——攻击者可以将恶意软件添加到受信任的应用程序中，使用相同的密钥签署恶意版本，Android 就会信任它作为一个“更新”。无论应用程序最初来自 Play 商店、Galaxy 商店还是旁加载，此方法都适用。 谷歌的公开披露没有列出哪些设备或原始设备制造商受到影响，但它确实显示了示例恶意软件文件的哈希值。有用的是，每个文件都已上传到 VirusTotal，它通常还会显示受影响公司的名称。有了这个，我们知道以下公司的密钥被泄露了（尽管一些密钥尚未被识别）： - 三星
- LG
- 联发科技
- szroco（沃尔玛 Onn 平板电脑的制造商）
- 评论
根据谷歌对该问题的简要解释，第一步是每个受影响的公司换出（或“轮换”）其 Android 平台签名密钥，不再使用已泄露的密钥。无论如何，最好定期执行此操作，以最大程度地减少未来潜在泄漏的损害。 除此之外，谷歌还敦促所有 Android 制造商大幅减少平台密钥用于签署其他应用程序的频率。只有需要最高级别权限的应用程序才应该以这种方式签名，以避免潜在的安全问题。 谷歌表示，自 2022 年 5 月报告该问题以来，三星和所有其他受影响的公司已经“采取补救措施，将这些重大安全漏洞对用户的影响降到最低”。据APKMirror 称，目前尚不清楚这到底意味着什么，因为过去几天三星的 Android 应用程序中使用了一些易受攻击的密钥。 目前尚不清楚哪些当前的 Android 设备（如果有的话）仍然容易受到此安全漏洞的攻击。我们已联系谷歌了解更多详情，但无法立即联系到该公司发表评论。 值得注意的是，虽然谷歌的披露称该漏洞是在 2022 年 5 月报告的，但 VirusTotal早在 2016 年就首次扫描了一些恶意软件示例。目前尚不清楚这是否意味着泄漏和相关的漏洞利用在当时已被积极用于某些设备。 谷歌在一份声明中澄清说，人们的设备通过多种方式受到保护，免受此特定漏洞的影响，包括通过 Google Play Protect、设备制造商的“缓解措施”等。除此之外，此漏洞并未进入通过 Google Play 商店分发的应用程序。 在我们报告密钥泄露后，OEM 合作伙伴立即采取了缓解措施。最终用户将受到 OEM 合作伙伴实施的用户缓解措施的保护。谷歌已经在扫描系统映像的 Build Test Suite 中对恶意软件进行了广泛的检测。Google Play Protect 还会检测恶意软件。没有迹象表明此恶意软件存在于或曾经存在于 Google Play 商店中。一如既往，我们建议用户确保他们运行的是最新版本的 Android。 ——谷歌发言人
虽然正在确认最新的 Android 安全漏洞的详细信息，但您可以采取一些简单的步骤来确保您的设备保持安全。首先，请确保您使用的是适用于您设备的最新固件。如果您的设备不再接收一致的 Android 安全更新，我们建议您尽快升级到更新的设备。 除此之外，避免将应用程序旁加载到手机上，即使是在更新手机上已有的应用程序时也是如此。如果需要旁加载应用程序，请确保您完全信任正在安装的文件。
| 
沪公网安备 31010702007642号 )
发表于 2022-12-2 10:26
终于还是迎来这天了，用来签名的根证书一旦被窃取就能肆意认证恶意程序
只当下载站可惜了
