你有沒(méi)有想過(guò)，
哪天當你點(diǎn)開(kāi)一個(gè)紅包，
你的支付寶信息瞬間被“克隆”，
然后別人就可以用你的賬號，
刷你的錢(qián)！
瞬間克隆，花你的錢(qián)不商量
9日下午，一種針對安卓手機操作系統的新型攻擊危險被公布，這種“攻擊”能瞬間把你手機的應用，克隆到攻擊者的手機上，并克隆你的支付二維碼，進(jìn)行隱蔽式盜刷。
攻擊者向用戶(hù)發(fā)短信，用戶(hù)點(diǎn)擊短信中的鏈接，用戶(hù)在自己的手機上看到的是一個(gè)真實(shí)的搶紅包網(wǎng)頁(yè)，攻擊者則已經(jīng)在另一臺手機上完成了克隆支付寶賬戶(hù)的操作。賬戶(hù)名用戶(hù)頭像完全一致。
以支付寶為例，先通過(guò)一個(gè)演示來(lái)了解它：
在升級到最新安卓8.1.0的手機上↓
“攻擊者”向用戶(hù)發(fā)送一條包含惡意鏈接的手機短信↓
用戶(hù)一旦點(diǎn)擊，其賬戶(hù)一秒鐘就被“克隆”到“攻擊者”的手機中↓
然后“攻擊者”就可以任意查看用戶(hù)信息，并可直接操作該應用↓
央視記者在現場(chǎng)借到了一部手機，經(jīng)過(guò)手機機主的同意，記者決定試一下“克隆攻擊”是不是真實(shí)存在。
記者發(fā)現，中了克隆攻擊之后，用戶(hù)這個(gè)手機應用中的數據被神奇地復制到了攻擊者的手機上，兩臺手機看上去一模一樣。那么，這臺克隆手機能不能正常地消費呢？記者到商場(chǎng)進(jìn)行了簡(jiǎn)單的測試。
通過(guò)克隆來(lái)的二維碼，記者在商場(chǎng)輕松地掃碼消費成功。記者在被克隆的手機上看到，這筆消費已經(jīng)悄悄出現在支付寶賬單中。
視頻如下：
因為小額的掃碼支付不需要密碼，一旦中了克隆攻擊，攻擊者就完全可以用自己的手機，花別人的錢(qián)。
而短信只是其中一種誘導方式，該漏洞還可以被黑客隱藏在二維碼、新聞頁(yè)面等，只要用戶(hù)不小心點(diǎn)到了就會(huì )中招。
黑客是否可以連用戶(hù)的支付密碼也“克隆”？專(zhuān)家表示：“就支付寶而言，密碼是拿不到的。但有些App因為還存在其它漏洞，在克隆后，再配合其它漏洞真的可以拿到密碼，完完全全控制賬號。”
網(wǎng)絡(luò )安全工程師表示，和過(guò)去的攻擊手段相比，克隆攻擊的隱蔽性更強，更不容易被發(fā)現。因為不會(huì )多次入侵你的手機，而是直接把你的手機應用里的內容搬出去，在其他地方操作。
“應用克隆”有多可怕？
“應用克隆”的可怕之處在于：和以往的木馬攻擊不同，它實(shí)際上并不依靠傳統的木馬病毒，也不需要用戶(hù)下載“冒名頂替”常見(jiàn)應用的“李鬼”應用。
騰訊相關(guān)負責人比喻：“這就像過(guò)去想進(jìn)入你的酒店房間，需要把鎖弄壞，但現在的方式是復制了一張你的酒店房卡，不但能隨時(shí)進(jìn)出，還能以你的名義在酒店消費?！?/span>
騰訊安全玄武實(shí)驗室研究員 王永科表示，攻擊者可以在他自己的手機上完全地操作賬戶(hù)，包括查看隱私信息，甚至還可以盜用里面的錢(qián)財。
智能手機，在我們生活中扮演的角色越來(lái)越重要。我們的手機里不僅有我們的個(gè)人信息，還能實(shí)現預定、消費、甚至支付等各種活動(dòng)。
騰訊安全玄武實(shí)驗室負責人 于旸介紹，攻擊者完全可以把與攻擊相關(guān)的代碼，隱藏在一個(gè)看起來(lái)很正常的頁(yè)面里面，你打開(kāi)的時(shí)候，你肉眼看見(jiàn)的是正常的網(wǎng)頁(yè)，可能是個(gè)新聞、可能是個(gè)視頻、可能是個(gè)圖片，但實(shí)際上攻擊代碼悄悄地在后面執行。
專(zhuān)家表示，只要手機應用存在漏洞，一旦點(diǎn)擊短信中的攻擊鏈接，或者掃描惡意的二維碼，APP中的數據就可能被復制。
經(jīng)過(guò)測試發(fā)現，“應用克隆”對許多移動(dòng)應用都有效，在200個(gè)移動(dòng)應用中發(fā)現27個(gè)存在漏洞，比例超過(guò)10%。
圖片來(lái)源：虎嗅網(wǎng)
騰訊安全玄武實(shí)驗室此次發(fā)現的漏洞至少涉及國內安卓應用市場(chǎng)十分之一的APP，如支付寶、餓了么等多個(gè)主流APP均存在漏洞，所以該漏洞幾乎影響國內所有安卓用戶(hù)。
據最新消息，目前支付寶等部分App已經(jīng)修復了該漏洞，但還有10款App尚未修復；另外，部分已經(jīng)修復的App仍然存在修復不完全的情況。
目前，“應用克隆”這一漏洞只對安卓系統有效，蘋(píng)果手機則不受影響。另外，騰訊表示目前尚未有已知案例利用這種途徑發(fā)起攻擊。
如何防范？
知道創(chuàng )宇404實(shí)驗室負責人表示，普通用戶(hù)的防范比較頭疼，但仍有一些通用的安全措施：
1、別人發(fā)給你的鏈接少點(diǎn)，不太確定的二維碼不要出于好奇去掃；
2、更重要的是，關(guān)注官方的升級，包括你的操作系統和手機應用，都要及時(shí)升級。
網(wǎng)絡(luò )安全工程師表示，如果現在把安卓操作系統和所有的手機應用都升級到最新版本，大部分的應用就可以避免克隆攻擊。
官方分析：“高?！?/span>
1月9日晚上7點(diǎn)半，國家互聯(lián)網(wǎng)應急中心在旗下的國家信息安全漏洞共享平臺對該漏洞（官方稱(chēng)其為“Android WebView存在跨域訪(fǎng)問(wèn)漏洞”）進(jìn)行公告，對漏洞進(jìn)行了分析，并給出了“高?！?/span>的安全評級以及修復建議：
