1.媒体来源:
iThome新闻
2.完整新闻标题:
趋势：百度SDK乱开后门，“虫洞”影响1.4万款程式上亿Android装置
3.完整新闻内文:
中国漏洞揭露平台乌云网日前指出，百度的行动程式与华为手机都受到“虫洞”（WormHole
）漏洞的影响，让骇客可自远端执行任意程式。而趋势科技则公布针对“虫洞”的研究结果
，指称它是百度自制的Moplus SDK惹的祸，估计影响1.4万款行动程式，波及上亿台的
Android装置。
根据趋势科技的分析，Moplus是百度自行打造的软件开发套件，但当中有许多没必要的后门
功能，问题出在Moplus SDK的权限存取控制以及百度应该限制其权限的存取。
这些后门功能使得他人能够在未经使用者同意之下传递网钓页面、新增联络资讯、传递伪造
的短信、或是自装置上传档案，也能自远端安装任何应用程式，而且只要装置连上网络，就
有可能遭到有心人的滥用，事实上趋势已发现相关的攻击行动。
趋势科技的行动威胁分析师Seven Shen说明，当使用者启用基于Moplus SDK的程式时，该
SDK就会自动于装置背景下建立一个本机的HTTP服务器，并监控所有传输的讯息，这基本上
就是一个命令暨控制（C&C）的攻击模式，与传送C&C攻击唯一的不同在于此一模式的C&C伺
服器是位于使用者端，而攻击客户端却来自四面八方。
此外，该Moplus SDK还含有许多恶意功能，包含上传或下载档案、取得程式列表、取得搜寻
列资讯、取得服务资讯或扫描下载档案等，于是骇客只要传送一个HTTP请求就能存取及使用
Moplus，完全不需进行身分认证。
Shen认为它甚至比怯场（Stagefright）漏洞还危险，虽然Moplus SDK的影响规模不若
Stagefright漏洞来得大，但骇客只要扫描网络上的IP，找到目标就能展开攻击，完全不需
要使用者的互动，Stagefright至少还得知道攻击目标的电话号码。
虽然Moplus为百度自制的SDK，并不是一个开放的SDK，然而趋势却发现市场上有超过1.4万
款的行动程式采用Moplus，当中仅有4014款来自百度，估计影响市场上亿支的Android装置
。
在该漏洞被揭露之后，百度也宣布正在更新所有受到影响的行动程式。不过，趋势检验已更
新的百度地图程式后发现，百度虽然移除了Moplus中可自远端安装程式的功能，却还遗留部
份恶意功能。
趋势科技已将研究结果送交Google及百度，同时建议使用者安装该公司的Mobile Security
& Antivirus免费防毒程式以过滤含有恶意SDK的行动程式。（编译/陈晓莉）
4.完整新闻连结 (或短网址):
http://www.ithome.com.tw/news/99696
5.备注:
爱用支那产品怪谁？ 后面辣辣的喔？
（hao123及马囧表示：）