楼主:
bearking2 (火雷甲空 改好改满)
2015-11-03 15:29:551.媒体来源:
iThome新闻
2.完整新闻标题:
趋势：百度SDK乱开后门，“虫洞”影响1.4万款程式上亿Android装置
3.完整新闻内文:
中国漏洞揭露平台乌云网日前指出，百度的行动程式与华为手机都受到“虫洞”（WormHole
）漏洞的影响，让骇客可自远端执行任意程式。而趋势科技则公布针对“虫洞”的研究结果
，指称它是百度自制的Moplus SDK惹的祸，估计影响1.4万款行动程式，波及上亿台的
Android装置。
根据趋势科技的分析，Moplus是百度自行打造的软件开发套件，但当中有许多没必要的后门
功能，问题出在Moplus SDK的权限存取控制以及百度应该限制其权限的存取。
这些后门功能使得他人能够在未经使用者同意之下传递网钓页面、新增联络资讯、传递伪造
的短信、或是自装置上传档案，也能自远端安装任何应用程式，而且只要装置连上网络，就
有可能遭到有心人的滥用，事实上趋势已发现相关的攻击行动。
趋势科技的行动威胁分析师Seven Shen说明，当使用者启用基于Moplus SDK的程式时，该
SDK就会自动于装置背景下建立一个本机的HTTP服务器，并监控所有传输的讯息，这基本上
就是一个命令暨控制（C&C）的攻击模式，与传送C&C攻击唯一的不同在于此一模式的C&C伺
服器是位于使用者端，而攻击客户端却来自四面八方。
此外，该Moplus SDK还含有许多恶意功能，包含上传或下载档案、取得程式列表、取得搜寻
列资讯、取得服务资讯或扫描下载档案等，于是骇客只要传送一个HTTP请求就能存取及使用
Moplus，完全不需进行身分认证。
Shen认为它甚至比怯场（Stagefright）漏洞还危险，虽然Moplus SDK的影响规模不若
Stagefright漏洞来得大，但骇客只要扫描网络上的IP，找到目标就能展开攻击，完全不需
要使用者的互动，Stagefright至少还得知道攻击目标的电话号码。
虽然Moplus为百度自制的SDK，并不是一个开放的SDK，然而趋势却发现市场上有超过1.4万
款的行动程式采用Moplus，当中仅有4014款来自百度，估计影响市场上亿支的Android装置
。
在该漏洞被揭露之后，百度也宣布正在更新所有受到影响的行动程式。不过，趋势检验已更
新的百度地图程式后发现，百度虽然移除了Moplus中可自远端安装程式的功能，却还遗留部
份恶意功能。
趋势科技已将研究结果送交Google及百度，同时建议使用者安装该公司的Mobile Security
& Antivirus免费防毒程式以过滤含有恶意SDK的行动程式。（编译/陈晓莉）
4.完整新闻连结 (或短网址):
http://www.ithome.com.tw/news/99696
5.备注:
爱用支那产品怪谁？ 后面辣辣的喔？
（hao123及马囧表示：）
作者:
xzcb2008 (éžå¸¸æ£®77牛)
2015-11-03 15:31:00还好我都用hao123
作者:
macdivas (电脑罢工中)
2015-11-03 15:32:00还好我都用卫士360还有hao123来保护我的喉咙
作者: yeh0416 (东哥) 2015-11-03 15:32:00
还好我有装金山+hao123
作者:
miketk (麦仔茶^O^)
2015-11-03 15:34:00这不只是挂百度的软件有问题, 用他的套件开发的都有问题?
作者:
bndan (seed)
2015-11-03 15:36:00中国直接在API开洞 正HOT呢.XD 这样真的还有人敢用中国货?
作者:
miketk (麦仔茶^O^)
2015-11-03 15:36:00装APP好像也不会声明是用啥套件开发的..真恐怖..
作者:
Xenogamer (ゴミ丼わがんりんにゃれ)
2015-11-03 15:36:00还好林杯用唉凤
作者:
nixon (为人民币服务)
2015-11-03 15:37:00没事的, 安全百度杀毒就好了
作者:
kinghtt (万年潜水伕)
2015-11-03 15:37:00重点在你不会知道那些APP是用这套系统开发
作者:
miketk (麦仔茶^O^)
2015-11-03 15:37:00是连素人开发的都有可能有问题 你无法一一去检查吧
作者:
miketk (麦仔茶^O^)
2015-11-03 15:38:00用中国手机的都说 我不是重要人物 不会有人来特意监听啦
作者:
mdkn35 (53nkdm)
2015-11-03 15:43:00华为手机 真正用心
作者:
farsex (法西斯)
2015-11-03 15:56:00ES Global.Cheetah Mobile 这两家的产品。还有一堆手游有 Tencent 资料夹也注意一下。
作者:
abucat (阿布猫)
2015-11-03 16:27:00百度云应该也有事，好可怕，虽然只存av与音乐.......
作者: kennyksmy (icgryntea) 2015-11-03 16:43:00
百度云线上下载应该没影响，安装版就...