Google年度安全报告显示第三方应用商店安全状况不容乐观-低调大师

Google年度安全报告显示第三方应用商店安全状况不容乐观

2017-07-02 598

为了让 Android 用户更加充分的了解 Android 系统的情况，Google 自前年开始展开 Android 应用程序的安全调查。Google 在去年发布了第一份 Android 系统安全报告，在本周 Google 发布了第二份、也就是 2015 年的年度 Android 系统安全报告。2015 年的年度 Android 系统安全报告以 PDF 文档形式提供给外界下载，文档内容共计 46 页。我们节选了部分内容进行详细剖析：潜在有害软件(Potentially Harmful Applications ，PHA)

Google 一共将潜在恶意软件分为了十个大分类，分别是数据收集、间谍软件、木马、恶意下载、钓鱼、权限提升、后门、短信诈骗、WAP 诈骗和 Rooting。

　　上图为图一：2014 年与 2015 年 Google Play 中潜在恶意软件所占比例的对比

从图一中我们可以看到 Google Play 中潜在恶意软件中绝大多数都是因为收集数据而被发现，其他类目的潜在恶意软件数量总和都不到数据收集的一半。

另外从上图数据中我们也可以看到 Google Play 中 2014 年和 2015 年潜在恶意软件总比例分别为：0.24%和 0.13%。

这并不是意味着威胁 Android 的应用少了，相反，威胁 Android 的应用不但没有减少而是逐年增加。数据的降低只是 Google 审核和扫描的更加严格阻挡了很多 PHA。

　　图二：2014 年和 2015 年第三方应用商店中潜在恶意软件所占比例

图二是第三方应用商店中潜在恶意软件 2014 年与 2015 年的对比图，从图中我们很容易发现情况是非常糟糕的。

其中数据收集软件较前一年增长了两倍、恶意下载较前一年增长了四十二倍、权限提升较前一年增长了十一倍。

使用过 Android 设备的同学应该比较容易理解上图，因为安装的许多软件均会申请并不需要权限，例如一个手电筒 APP 要获取位置、获取通讯录、读取/发送短信等等。

而恶意下载则是更为普遍的事了，诸如积分墙这类强制用户下载某个应用去除积分墙至少还算是正大光明的干的。

而不知道有多少用户的 Android 设备已经沦为新时代的肉鸡，后台自动按指令下载各类推广 APP、模拟点击等等来帮一些不法分子赚钱。

图二我们也看到了 Root 类应用在 2014 年和 2015 年都居高不下，以中国为例：一方面手机厂商为了赚取更多利润会预装诸多不可卸载的应用，如果用户想要卸载则必须进行 Root 后才可以卸载；另一方面除了实质上需要 Root 的用户外相当一部分用户是在不明不白之中被 Root 的。

在中国的第三方应用商店中 Root 类应用更是数不胜数，除了这部分本身就是为了 Root 而开发的应用外还有需要应用直接集成了 Root 功能在后台直接进行 Root。

对于 Android 设备来说 Root 过后安全性大大降低，甚至部分木马可以直接对设备进行 Root 后把自己设置为不可卸载让用户无从下手。

Google 目前的做法是强化机器学习能力及事件关联性来检测潜在的有害行为，包括每天检测超过 60 亿个用户所安装的移动程序来检测恶意程序及潜在恶意程序。

Google 还在每天扫描 4 亿个设备上的网络与设备威胁、通过 Safe Browsing 保护 Android 设备上的数亿名 Chrome 用户等等。

结束语：

介于 Google Play 在中国的实际情况，我们只能通过第三方应用商店进行应用下载或者是通过应用的官方网站进行下载。

可是实际情况却不尽人意，以图二为例，PHAs 在中国的应用商店里的比例可能远远高于 Google 统计的数据。

主管此方面的中国行政部门工业和信息化部（以下简称“工信部”）在数次抽查国内应用商店市场时，均发现不少 PHAs。

工信部抽查的包括中国国内主流的第三方应用商店，如百度手机助手、应用宝、360 手机助手等等。

由于庞大的应用数量如果第三方应用商店没有严格的审核机制和自动化扫描机制，那么 PHAs 潜入这些第三方商店的概率是相当相当高的。

另外由于中国国内网络状况，即使用户通过应用官网下载也并非能保证万无一失。几乎半公开的劫持用户网络、将用户下载的文件换成其他可获利的软件诱骗用户安装。

并且正如前段时间发生的大规模劫持 LOL、优酷、搜狗输入法客户端那样，如果通过劫持手段将用户正常下载的软件篡改为恶意软件那么后果将不堪设想，然而我觉得这种情况可能已经发生只是规模不大我们并未知晓。

传闻 Google Play 中国版三月份就会到来，然而已经快五月份了还是没有见到踪影。不过就算有了 Google Play 中国能使用的版本又能如何呢？除非 Google 能够强制 OEM 制造商必须预装 Google Play 不然我估计有多少人会用 Google Play 都是个大大的问号。

本文转自d1net（转载）

微信关注我们

原文链接：https://yq.aliyun.com/articles/169915

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

联想修复茄子快传（SHAREit）安全漏洞

日前，PC版(v3.0.18)和Android版(v2.5.1.1)联想茄子快传(Lenovo SHAREit)被爆存在安全漏洞，有潜在风险允许用户在相同局域网或者无线热点下访问运行SHAREit客户端的电脑或者设备，查看或复制他人设备上的文件。随后联想官方迅速对该漏洞进行了修复，发布了Windows(v3.2.0)和Android(v3.5.38_ww)维护版本，并推荐用户尽快进行升级。发现漏洞的安全研究人员解释说，当Lenovo ShareIt for Windows 配置接收文件，它会设置一个 Wi-Fi 热点，硬编码的密码是12345678，也就是说任何带Wi-Fi功能的设备都可以利用这个相同的密码访问该热点。12345678是最常用的密码之一，使用频率仅次于123456和password。本文转自d1net（转载）

2017-07-02

731

随着iOS平台开发的职位的增加，笔试、面试也越来越有“套路”，这里我总结了一些面试题，多数是Objective-C的基础知识，适合于面试新人，答案是我自己答的，不准确的地方，欢迎指出。 1. Object－c的类可以多重继承么？可以实现多个接口么？Category是什么？重写一个类的方式用继承好还是分类好？为什么？ Object-c的类不可以多重继承；可以实现多个接口，通过实现多个接口可以完成C++的多重继承；Category是类别，一般情况用分类好，用Category去重写类的方法，仅对本Category有效，不会影响到其他类与原有类的关系。 2.#import 跟#include 又什么区别，@class呢, ＃import<> 跟 #import”"又什么区别？ #import 是Objective-C导入头文件的关键字，#include是C/C++导入头文件的关键字,使用#import头文件会自动只导入一次，不会重复导入，相当于#include和#pragma once；@class告诉编译器某个类的声明，当执行时，才去查看类的实现文件，可以解决头文件的相互...

2017-07-02

599

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。