NEWS 安全资讯

首页> 安全资讯 > 手机软件读取用户隐私 安全性遭遇严峻挑战

手机软件读取用户隐私 安全性遭遇严峻挑战

发布时间:2013-08-11

一款壁纸软件居然会读取通讯录,一款游戏软件还能悄悄拨打用户电话——手机下载安装应用软件如今已是寻常事,但要当心了:有可能“引狼入室”。5月13日,腾讯移动安全实验室发布今年一季度手机安全报告,显示手机用户的通讯录、短信、账号密码、位置信息等核心隐私正成为恶意软件窃取目标。日趋流行的手机支付,安全性亦因此遭遇严峻挑战。

恶意软件与病毒瞄准安卓平台

2013年3月,一款名为“游戏杀手”的病毒,短时间内就感染了641款游戏软件,影响超过20万手机用户。这款软件正是在安卓操作系统上运行的。报告显示,手机恶意软件与手机病毒进一步增长,安卓系统已成为手机病毒肆虐的主要平台。

2013年3月,一款名为“游戏杀手”的病毒,短时间内就感染了641款游戏软件,影响超过20万手机用户。这款软件正是在安卓操作系统上运行的。报告显示,手机恶意软件与手机病毒进一步增长,安卓系统已成为手机病毒肆虐的主要平台。

业内专家介绍,苹果手机使用的iOS操作系统是封闭式系统,相对稳定,不开放源代码。安卓系统则是彻彻底底的开放,任何一个获取了安卓系统源代 码的机构或者个人都可以对系统进行修改和优化,手机用户可以通过多方渠道安装自己喜欢的应用,而不是必须安装通过官方验证或者从官方应用市场下载的软件。 这一优越性同时也带来了安全隐患。

据了解,安卓手机病毒来源以电子市场与手机论坛为主。国内部分电子市场缺乏针对山寨或恶意软件的精准识别能力,许多制毒者或制毒机构抓住审核缺陷与安全漏洞,上传恶意软件或将捆绑热门软件二次打包植入恶意代码,可轻易绕过数字签名的审核机制,快速感染海量用户群。

71%手机软件读取用户隐私

目前,手机应用软件(APP)读取用户隐私的现象严重性进一步凸显。

据介绍,腾讯移动安全实验室抽取了近470万个软件包,统计发现有读取用户隐私权限相关操作的软件比例达到71%,也就是有超过333万个软件包同时申请了隐私权限,且含有读取用户隐私权限相关操作的代码。

在这333万个软件包中,读取设备识别信息与本机手机号的占61.75%与28.33%;读取地理位置信息的占28.27%;读取通讯录的占10.29%,读取短信的占4.22%;打开手机摄像头与录音器的分别占4.15%与3.75%;读取通话记录的占2.86%;读取浏览器书签的占7.93%。

专家分析,并非所有针对用户隐私权限的读取都不合理,主要取决于其目的是否在功能必须的范畴之内。安全软件、系统管理软件、通讯软件、社交软件等针对用户的通讯录等隐私读取是在合理权限内;但是,如果一款游戏软件或壁纸软件需要读取用户通讯录和短信,肯定属于越权。

而在APP越权读取隐私现象中,某些不法应用开发者为了牟取利润,往往山寨某些知名应用,将其官方APP拆解后,在里面嵌入广告插件甚至恶意代码,这部分开发者被称之为“打包党”。含恶意广告插件类APP会给用户造成资费消耗、隐私泄露等多重危害。

比如,一款含广告插件的游戏APP“神庙逃亡”,可读取手机号、地理位置、拍照、浏览器书签等多项权限;而被打包了“病毒代码”的伪“神庙逃亡”还进一步获取了联系人、通话记录、发送短信、拨打电话这4项用户核心隐私权限。

读取用户隐私往往和牟利挂钩。据业内人士分析,收集地理位置、设备识别、本地手机号等信息后,可精准投放广告,并进行有效的用户消费行为分析,符合部分广告商的利益诉求,软件开发者也可因此分成。

手机支付,当心病毒窃财

目前,越来越多的智能手机用户习惯于用手机支付转账,手机支付安全问题随之而来。专家认为,手机病毒被内置到支付类、网购等应用程序之中变得普遍,这类病毒一旦启动,会伺机窃取用户账号信息。

据统计,今年一季度,移动互联网上首次出现了手机支付银行客户端被感染的情况。一款手机支付病毒“洛克蠕虫”首次感染了中国建设银行的手机客户端,通过二次打包的方式把恶意代码嵌入银行APP,未经用户允许私自下载软件并安装,还会安装恶意子包,进一步窃取银行账号及密码,继而盗走用户账号中的资金。

手机安全专家付亮分析,与电脑支付系统相比,手机支付平台本身并没有更大风险,关键在于手机应用环境和用户的手机使用习惯。比如,很多用户习惯于在手机上设置默认密码,每次自动登录,这就给恶意软件和病毒留下了可乘之机。

专家建议,对普通用户来说,要保护个人信息和隐私安全,最好从正规渠道购买手机。许多水货手机往往在出货前就已经刷机或者内置了各种流氓软件。 同时,不要点击不明网址链接,从正规安全的渠道下载应用,在论坛里下载软件之前最好先浏览用户评价,使用可靠的手机安全软件,定期体检和杀毒。

付亮尤其提醒,安装软件时一定要知道自己安装的是什么,不能糊里糊涂,安装完毕后检查软件权限,关闭或者删除不必要的功能,及时监控恶意软件的过度权限要求和后台私自联网等恶意行为。

爱加密是一个专业加固App的软件,能有效避免App的破解、注入、反编译等操作,从而消除App在推广过程中被破解、盗版的安全风险,并通过服务开发者,从而达到服务用户的目的。我们的口号是给App源码穿上护甲,为App运行保驾护航!

加入收藏