安全研究员发现Android新漏洞竟由OEM预装

Android在近段时间的日子并不好过，在过去2周时间里，它至少被发现了2个严重漏洞。现在，来自安全公司Check Point的Ohad Bobrov和Avi Bashan又发现了一个新的漏洞—Certifi-gate。获悉，这两位安全研究人员发现移动远程支持工具(mRSTs)所表现出来的功能跟一款叫做移动远程访问木马(mRATs)的恶意软件非常相似，最大的一个区别则是前者并非出于犯罪的目的而开发。mSRTs能够远程访问手机、录制用户输入内容及截图。mRATs这款恶意软件显然需要用户安装才会发挥功效，而 mSRTs却是由OEM预装。

存有这种现象的OEM有三星、HTC、LG、华为、联想。

想要知道这个漏洞如何工作，首先我们得了解mSRTs的工作机理。由于mSRTs极富攻击性以及拥有强大的功能，所以软件需要获得特别权限并由OEM签署才行。这样，这套工具就被分成了两部分：用户实际看到的软件、提供权限的后端插件。当软件需要获得特别权限时，它需要连接到插件。即便没有安装该类型软件的手机也可能包含这一插件。

为了让软件向插件发送权限请求，mSRT软件就此诞生。商家在Android的Binder上开发了自己的认证工具，然而这些工具并没有属于自己的认证流程。于是问题就此产生。研究人员可以通过这一双重性利用插件的强大功能获取访问设备的权限，在某些情况下，甚至只需要一条简单的文本信息。

想要解决问题其实也很简单，但却会带来灾难性的后果—手机变砖。当下最好的解决方案也许就是为插件和软件之间的连接开发出一套更好的验证系统。