你有沒有想過，
哪天當(dāng)你點(diǎn)開一個紅包，
你的支付寶信息瞬間被“克隆”，
然后別人就可以用你的賬號，
刷你的錢！
瞬間克隆，花你的錢不商量
9日下午，一種針對安卓手機(jī)操作系統(tǒng)的新型攻擊危險被公布，這種“攻擊”能瞬間把你手機(jī)的應(yīng)用，克隆到攻擊者的手機(jī)上，并克隆你的支付二維碼，進(jìn)行隱蔽式盜刷。
攻擊者向用戶發(fā)短信，用戶點(diǎn)擊短信中的鏈接，用戶在自己的手機(jī)上看到的是一個真實(shí)的搶紅包網(wǎng)頁，攻擊者則已經(jīng)在另一臺手機(jī)上完成了克隆支付寶賬戶的操作。賬戶名用戶頭像完全一致。
以支付寶為例，先通過一個演示來了解它：
在升級到最新安卓8.1.0的手機(jī)上↓
“攻擊者”向用戶發(fā)送一條包含惡意鏈接的手機(jī)短信↓
用戶一旦點(diǎn)擊，其賬戶一秒鐘就被“克隆”到“攻擊者”的手機(jī)中↓
然后“攻擊者”就可以任意查看用戶信息，并可直接操作該應(yīng)用↓
央視記者在現(xiàn)場借到了一部手機(jī)，經(jīng)過手機(jī)機(jī)主的同意，記者決定試一下“克隆攻擊”是不是真實(shí)存在。
記者發(fā)現(xiàn)，中了克隆攻擊之后，用戶這個手機(jī)應(yīng)用中的數(shù)據(jù)被神奇地復(fù)制到了攻擊者的手機(jī)上，兩臺手機(jī)看上去一模一樣。那么，這臺克隆手機(jī)能不能正常地消費(fèi)呢？記者到商場進(jìn)行了簡單的測試。
通過克隆來的二維碼，記者在商場輕松地掃碼消費(fèi)成功。記者在被克隆的手機(jī)上看到，這筆消費(fèi)已經(jīng)悄悄出現(xiàn)在支付寶賬單中。
視頻如下：
因?yàn)樾☆~的掃碼支付不需要密碼，一旦中了克隆攻擊，攻擊者就完全可以用自己的手機(jī)，花別人的錢。
而短信只是其中一種誘導(dǎo)方式，該漏洞還可以被黑客隱藏在二維碼、新聞頁面等，只要用戶不小心點(diǎn)到了就會中招。
黑客是否可以連用戶的支付密碼也“克隆”？專家表示：“就支付寶而言，密碼是拿不到的。但有些App因?yàn)檫€存在其它漏洞，在克隆后，再配合其它漏洞真的可以拿到密碼，完完全全控制賬號。”
網(wǎng)絡(luò)安全工程師表示，和過去的攻擊手段相比，克隆攻擊的隱蔽性更強(qiáng)，更不容易被發(fā)現(xiàn)。因?yàn)椴粫啻稳肭帜愕氖謾C(jī)，而是直接把你的手機(jī)應(yīng)用里的內(nèi)容搬出去，在其他地方操作。
“應(yīng)用克隆”有多可怕？
“應(yīng)用克隆”的可怕之處在于：和以往的木馬攻擊不同，它實(shí)際上并不依靠傳統(tǒng)的木馬病毒，也不需要用戶下載“冒名頂替”常見應(yīng)用的“李鬼”應(yīng)用。
騰訊相關(guān)負(fù)責(zé)人比喻：“這就像過去想進(jìn)入你的酒店房間，需要把鎖弄壞，但現(xiàn)在的方式是復(fù)制了一張你的酒店房卡，不但能隨時進(jìn)出，還能以你的名義在酒店消費(fèi)。”
騰訊安全玄武實(shí)驗(yàn)室研究員 王永科表示，攻擊者可以在他自己的手機(jī)上完全地操作賬戶，包括查看隱私信息，甚至還可以盜用里面的錢財。
智能手機(jī)，在我們生活中扮演的角色越來越重要。我們的手機(jī)里不僅有我們的個人信息，還能實(shí)現(xiàn)預(yù)定、消費(fèi)、甚至支付等各種活動。
騰訊安全玄武實(shí)驗(yàn)室負(fù)責(zé)人 于旸介紹，攻擊者完全可以把與攻擊相關(guān)的代碼，隱藏在一個看起來很正常的頁面里面，你打開的時候，你肉眼看見的是正常的網(wǎng)頁，可能是個新聞、可能是個視頻、可能是個圖片，但實(shí)際上攻擊代碼悄悄地在后面執(zhí)行。
專家表示，只要手機(jī)應(yīng)用存在漏洞，一旦點(diǎn)擊短信中的攻擊鏈接，或者掃描惡意的二維碼，APP中的數(shù)據(jù)就可能被復(fù)制。
經(jīng)過測試發(fā)現(xiàn)，“應(yīng)用克隆”對許多移動應(yīng)用都有效，在200個移動應(yīng)用中發(fā)現(xiàn)27個存在漏洞，比例超過10%。
圖片來源：虎嗅網(wǎng)
騰訊安全玄武實(shí)驗(yàn)室此次發(fā)現(xiàn)的漏洞至少涉及國內(nèi)安卓應(yīng)用市場十分之一的APP，如支付寶、餓了么等多個主流APP均存在漏洞，所以該漏洞幾乎影響國內(nèi)所有安卓用戶。
據(jù)最新消息，目前支付寶等部分App已經(jīng)修復(fù)了該漏洞，但還有10款A(yù)pp尚未修復(fù)；另外，部分已經(jīng)修復(fù)的App仍然存在修復(fù)不完全的情況。
目前，“應(yīng)用克隆”這一漏洞只對安卓系統(tǒng)有效，蘋果手機(jī)則不受影響。另外，騰訊表示目前尚未有已知案例利用這種途徑發(fā)起攻擊。
如何防范？
知道創(chuàng)宇404實(shí)驗(yàn)室負(fù)責(zé)人表示，普通用戶的防范比較頭疼，但仍有一些通用的安全措施：
1、別人發(fā)給你的鏈接少點(diǎn)，不太確定的二維碼不要出于好奇去掃；
2、更重要的是，關(guān)注官方的升級，包括你的操作系統(tǒng)和手機(jī)應(yīng)用，都要及時升級。
網(wǎng)絡(luò)安全工程師表示，如果現(xiàn)在把安卓操作系統(tǒng)和所有的手機(jī)應(yīng)用都升級到最新版本，大部分的應(yīng)用就可以避免克隆攻擊。
官方分析：“高危”
1月9日晚上7點(diǎn)半，國家互聯(lián)網(wǎng)應(yīng)急中心在旗下的國家信息安全漏洞共享平臺對該漏洞（官方稱其為“Android WebView存在跨域訪問漏洞”）進(jìn)行公告，對漏洞進(jìn)行了分析，并給出了“高危”的安全評級以及修復(fù)建議：
