百度Android开发工具存漏洞，数千款应用受影响

北京时间11月3日上午消息，百度提供的一个软件开发包（SDK）被曝光存在后门，而黑客可以利用这一后门入侵用户的设备。这一SDK被用在了数千款Android应用中。

趋势科技的信息安全研究人员周二表示，这一SDK名为Moplus.尽管没有公开发布，但这一SDK被集成至超过1.4万个应用，其中只有约4000个应用为百度开发。

趋势科技估计，受影响的应用被超过1亿用户使用。根据该公司的分析，Moplus SDK在用户设备上启动了HTTP服务器。这一服务器没有使用任何验证机制，会接受互联网上任何人的请求。

更糟糕的是，通过向这一隐藏的HTTP服务器发送请求，攻击者可以执行SDK中预定义的命令。这意味着攻击者可以获得位置数据和搜索关键词等敏感信息，并执行新增联系人、上传文件、拨打电话、显示伪造消息，以及安装应用等操作。

在被root的Android设备上，这一SDK允许应用的静默安装。这意味着，用户在没有看到任何确认消息的情况下，应用就可能被安装至设备。实际上，趋势科技的研究人员已经发现了一种蠕虫病毒，利用这一后门安装用户不需要的应用。这一恶意软件名为ANDROIDOS_WORMHOLE.HRXA.

趋势科技表示，从多个方面来看，Moplus漏洞都要比今年早些时候Android Stagefright库中发现的漏洞更严重。利用后一漏洞，攻击者至少需要向用户手机发送恶意的多媒体消息，或是欺骗用户打开恶意链接。而如果希望利用Moplus漏洞，那么攻击者可以扫描整个移动互联网，寻找Moplus HTTP服务器开启的IP地址。

百度已经发布了新版SDK,删除了一些命令。但趋势科技表示，HTTP服务器目前仍会开启，而一些功能仍可能被滥用。

百度一名发言人表示，百度已修复了10月30日报告给该公司的所有信息安全漏洞。“关于趋势科技最新报告的可能存在问题的其余代码，在我们的修复之后已成为无用代码，不会产生影响。”

这名发言人表示，百度没有提供“后门”.而在该公司的下一版应用中，这些未激活代码将会被删除。

不过目前的问题在于，第三方开发者将会在多长时间内用最新SDK去升级自己的应用。趋势科技列出的前20大受影响应用中包括非百度开发的应用，而其中有一些仍在谷歌Play中提供下载。

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。