国外大型社交平台可能被黑客串改WhatsApp、Telegram

赛门铁克警示：因为安卓操作系统容许运用浏览外界储存中的文档，客户根据 WhatsApp 和 Telegram 信息运用传送的媒体文件可被网络黑客伪造。

　　安卓应用可在机器设备內部或外界储存中储存文档和统计数据。內部储存中的文档只可由其有关运用浏览，因此Google提议开发人员用內部储存储放不可被客户或别的运用浏览的统计数据。与之相对性，外界储存中的文档客户和别的运用均可查询和改动。

　　赛门铁克的科学研究工作人员详细介绍了这类名叫 “媒体文件被劫持” (Media File Jacking) 的进攻方式：WhatsApp 和 Telegram 接收文档时在载入硬盘和载入到运用操作界面中间存有时差，具备外界储存写管理权限的安卓应用便可趁此空隙迅速改动文档。

　　该进攻对维持默认设置的 WhatsApp 和 启用了 “储存到图片库” 选择项的 Telegram 合理。

　　故意运用可在后台程序，监控总体目标信息运用的文档接受姿势，出其不意实际操作照片、税票、声频等文档。赛门铁克称，照片伪造能够仅仅搞搞捉弄，但还可以用以敲诈勒索。

　　税票伪造则后果严重得多。网络攻击能够程序编写更换文档中的银行账户信息内容，让受害人将钱打进自身操纵的帐户中而并不是初始税票中写的帐户。

　　顾客接到预估的税票，却我不知道在其中帐户信息内容已被伪造。而等经销商长期性收不上借款而来函来电查寻时，资产早就杳无音讯了。很糟的是，税票伪造进攻能够规模性进行，寻找一切可被伪造的税票，普遍危害应用 WhatsApp 等即时聊天 (IM) 运用实行业务流程的受害人。

　　伪造声频信息也可对公司导致比较严重损害。在赛门铁克叙述的情景中，某企业 CEO 用 WhatsApp 给 CFO 上传了每段声频信息，规定升级股东会大会上得用的ppt。网络攻击应用响声复建技术性替换成掉初始声频，改为 CEO 规定向网络攻击操纵下的银行帐户转帐的视频语音信息。

　　置于 Telegram 的应用领域，赛门铁克称，“媒体文件被劫持” 进攻可用以在可靠新闻报道组织的官方网 Telegram 频道栏目中插播谣言。网络攻击能够将新闻报道组织消息推送的合理合法內容换成自身的虚报信息内容，再展现在受害人的手机。

　　赛门铁克演试的是对于 WhatsApp 和 Telegram 的进攻，但业内先前已悉知了与iOS外界储存有关的风险性。上年 Check Point 的科学研究工作人员就公布过这种十分类似的技术性：安卓设备上的恶意程序能够用用心结构的文档遮盖掉合理合法文档以引起奔溃（也可造成提权实行编码），可以被劫持运用的升级系统进程来安裝大量恶意程序。Check Point 将之称之为 “盘里人” (man-in-the-disk) 进攻

　　赛门铁克已向 WhatsApp 和 Telegram 汇报了自身的发觉。WhatsApp 觉得该难题应由Google处理，并将寻找评价的新闻媒体引到了Google将要发布的 Android Q。Telegram 对之事不予置评。

　　Android Q 将导入名叫 Scoped Storage 的隐私保护作用，用于更改运用浏览安卓设备外界储存的方法。赛门铁克称，Scoped Storage 将会会减轻 “媒体文件被劫持” 进攻，但因为运用开发人员还必须一点儿時间融入新作用，这类更改也许不容易那么快产生。并且，Android Q 的运用也必须時间拉开，而一些机器设备是不容易升级自身的电脑操作系统的。

　　赛门铁克觉得，WhatsApp 和 Telegram 这类信息运用的开发人员应采取有效避免潜在性进攻，例如在载入前先认证文档一致性、尽量在內部储存中储放文档，及其像数据加密文字信息相同数据加密媒体文件。

　　赛门铁克还开发设计了演试照片和税票怎样被伪造的定义认证 (PoC) 漏洞利用程序流程。该企业公布了视頻展现网络攻击怎样控制这种种类的文档，并另附了音频文档伪造方式的演试。