通过恶意App感染安卓智能电视-低调大师

通过恶意App感染安卓智能电视

2017-07-03 546

随着年终购物季的结束，许多消费者的家中也许新增了很多各式各样的智能设备。其中有一款目前已经得到了广泛使用的物联网设备，即智能电视。这种电视不仅仅是一种单纯的显示设备，有的智能电视甚至还可以运行安卓应用程序。有的人也许会认为这是一种非常有用的功能，但是这种功能也会给用户带来一定的安全风险。在两年之前，我们就曾对智能电视中所存在的问题进行了研究和分析，而在当时我们就注意到了这个问题。

有的用户喜欢使用一些应用程序来观看海外的电视节目，因为他们无法通过其他方法来观看这类节目。但是，在这些电视App中，有的却会给用户带来安全风险。这些应用程序中会存在后门，攻击者可以通过这些后门来利用安卓操作系统中的一个存在已久的漏洞(CVE-2014-7911)，谷歌公司已经在Lollipop 5.0版本的安卓操作系统中修复了这个漏洞，但Cupcake 1.5至Kitkat 4.4W.2版本的安卓系统仍然会受到这个漏洞的影响。

如今，大多数的智能电视使用的都是老版本的安卓操作系统，而这些版本的操作系统中仍然存在这一漏洞。例如长虹、飞利浦、松下等公司所出售的智能电视仍然存在安全漏洞。除此之外，其它采用了老版本安卓操作系统的智能电视设备同样有可能会受到黑客的攻击。值得注意的是，这种带有后门的应用程序主要使用在智能电视或者智能电视盒子之中。

在下列的图表中，我们列出了这类恶意应用程序的下载地址。这些网站的名字中都带有H.TV，访问这些网站的用户大多数都位于美国和加拿大地区。

除了上面所列出的网站之外，恶意软件还使用了下面给出的下载服务器：

攻击是如何发生的?

攻击者是如何进行攻击的呢?首先，攻击者会诱骗智能电视的用户去访问上述给出的那些网站，并想办法让他们去安装那些感染了恶意软件的应用程序。一旦用户在他们的智能电视中安装了这些应用程序之后，攻击者就可以触发目标系统中的漏洞了。攻击者可以利用Heap Spray和返回导向编程技术等众所周知的漏洞利用技术来获取目标系统的控制权限。

我们可以从上图中看到，恶意软件成功触发了系统中的安全漏洞。

　　在上图中，恶意应用程序成功利用了系统中的漏洞。

在成功提权的情况下，攻击者将会在系统中悄悄安装其他的应用程序或者恶意软件。我们在分析之后发现，攻击者不仅能够远程更新目标系统中的应用程序，而且还可以向智能电视远程推送相关的app。

　　我们可以在上图中看到攻击者安装其他恶意软件的过程。

　　上图显示的是攻击者远程更新目标设备app的过程。

但是请你注意，这些远程安装的应用程序只能通过HTTP进行下载，而无法通过HTTPS进行下载。这也就意味着，如果另一个攻击者能够对目标设备进行中间人攻击，那么他就可以修改目标设备所下载的应用程序，并且覆盖掉第一个攻击者的有效攻击载荷。

如何保护你的智能电视?

趋势科技的移动安全产品能够检测到这种类型的安全威胁。尽管大多数的安卓移动设备都可以随时对系统进行升级和更新，但升级智能电视的系统对很多用户来说却是一个很大的挑战，因为这种操作会受到硬件的限制。鉴于这一情况，我们建议用户在智能电视中安装安全保护产品，并且尽量避免从第三方网站上下载和安装应用程序。

如果你需要了解更多有关智能电视的信息，请点击下列地址：

http://www.trendmicro.com/vinfo/us/security/news/internet-of-things/are-smart-tvs-ready-for-prime-time

《网络安全法》为信息“裸奔”穿上盔甲

6月1日，《中华人民共和国网络安全法》正式施行。这是我国首部网络安全法，保护个人信息是其重要内容。近年来，我国个人信息泄露事件频发，窃取个人隐私手段不断翻新，移动互联网以及物联网的快速发展又给网络安全带来新的隐患——《网络安全法》值得你我共同关注。随着互联网的广泛应用和市场经济的不断发展，个人信息的经济价值及其重要性不断得到重视，然而个人信息泄露的程度令人堪忧，如同“赤身裸体”走在大街上，轻则骚扰不断，重则遭受诈骗蒙受损失。因而《网络安全法》的出台犹如为“裸奔”的信息穿上柔软而坚定的盔甲。个人信息泄露主要源自黑客攻击、钓鱼网站、内部安全防范不足等花样百出的方式，同时我国信息技术发展尚处在稚嫩的阶段，保护体系尚未成熟，个人信息泄露问题正在持续而严重的危害着人们的正常生产生活，“精准”的电信诈骗皆因个人信息泄露，使得不法之徒有机可乘。在这个人人互联的网络时代，我们在享受网络大数据带来的方便快捷的同时不得不正视网络信息安全的重要性，万物互联意味着不仅信息共享，更多的还有网络安全隐患和风险的正虎视眈眈。《网络安全信息法》以法为矛，对网络违法行为界定清晰，因而具有较强的威慑力，能够针对个人...

2017-07-04

541

网络中立性这一概念并不好理解，我们通过一个例子来解释一下：网络中立性的意思是，像AT＆T，康卡斯特（Comcast）和 Verizon 这样有自己的电视和流媒体视频服务的互联网服务供应商，不能给竞争对手制造“慢车道”。他们不能为了自己的利益，将 Netflix 和 Dish 的 SlingTV 等网站的网速变慢。但网络中立性并不仅仅包括流媒体视频服务，它还可以确保您能够使用需要的设备。按照目前的网络中立性原则，互联网供应商不能阻止您将笔记本电脑，平板电脑，智能手机或WiFi路由器等连接家庭网络。如果网络中立性原则消失，那么宽带公司和手机运营商就可以让某个品牌的手机或电脑的网速比其他品牌的手机和电脑网速更快。并且这只是个开始。随着人们开始将越来越多的设备连接网络，从语音控制个人助理（如苹果即将推出的智能音响Home Pod）到汽车节温器，网络中立性也变得越来越重要，虽然联邦政府采取行动减少了网络中立性的保护措施。上个月，共和党领导的联邦通信委员会开始推翻该机构切实执行网络中立性原则的权利。这就意味着除非国会或法院出面进行干预，否则网络中立性很快就会成为历史。对物联网的未来来说，解除...

2017-07-04

632

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。