Kryptowire在预装Android应用中发现了146个

　　在美国国土安全部资助的一项研究中，Kryptowire在廉价的Android智能机上，发现了由预装应用造成的严重安全风险。这些App存在潜在的恶意活动，可能秘密录制音频、未经用户许可就变更设置、甚至授予自身新的权限mdash；mdash；这显然与Android设备制造商和运营商的固件脱不了干系。
　　类型占比（图自：Kyrptowire，viaCnet）
　　在新工具的帮助下，Kryptowire得以在不需要接触手机本体的情况下，扫描固件中存在的漏洞。最终在29家制造商的Android设备上，查找到了146个安全隐患。
　　在被问及为何特别针对廉价Android设备展开软件安全调查时，Kryptowire首席执行官AngelosStavrou在一封邮件中解释称：这与谷歌对产品的管理态度，有着直接的关系。Google可能要求对进入其Android生态系统的软件产品进行更彻底的代码分析，并担负起供应商应有的责任。
　　当前政策制定者应要求该公司将最终用户的信息安全负起责任，而不是放任其置于危险之中。
　　对此，谷歌亦在一封邮件中称：其感谢合作并以负责任的态度来解决和披露此类问题的研究工作。
　　（厂商列表）
　　正如Kryptowire研究中发现的那样，预装应用通常为小型、无牌的第三方软件，其被嵌入到了较大的品牌制造商的预装功能中。
　　然而这类应用很容易构成重要的安全威胁，因为与其它类型的App相比，预装应用的权限要大得多、且很难被应用删除。在2017年于拉斯维加斯举办的黑帽网络安全大会上，Kryptowire披露了上海AdupsTechnology生产的廉价手机中的类似安全威胁。
　　该手机的预装软件被发现会将用户的设备数据发送到该公司在上海的服务器，而不会提醒这些用户，后续其声称该问题已得到解决。
　　2018年的时候，Kryptowire发布了面向25款Android入门机型预装固件缺陷的研究，同年谷歌推出了TestSuite，以部分解决这方面的问题。
　　（部分漏洞详情）
　　尽管Kryptowire曝光的事情每年都难以避免，不过Stavrou认为，谷歌的整体安全策略，还是有所改善的。
　　他表示：ldquo；保护软件供应链是一个非常复杂的问题，谷歌和安全研究界一直在努力解决该问题rdquo；。
　　在今年黑帽安全会议（BlackHat2019）的演示期间，谷歌安全研究员MaddieStone表示：
　　ldquo；Android设备的常见预装App有100400款，从恶意行为者的角度来看，他只需说服一家企业来打包恶意App，而无需说服成千上万的用户rdquo；。
　　【来源：cnBeta。COM】