2017 年 9 月 Android 安全公告中提供了用于修複該漏洞的更新檔。這種新型漏洞不會影響最新版本 Android 8.0 Oreo，但會影響所有之前的 Android 版本。某些惡意軟體會通過本文列出的一些途徑進行漏洞利用，但 Palo Alto Networks Unit 42 目前并未發現針對這一特定漏洞進行的任何攻擊。由于 Android 8.0 版本相對較新，這意味着幾乎所有 Android 使用者都應立即采取行動，安裝針對此漏洞的更新。
我們的研究人員發現利用該漏洞能夠更容易發起“覆寫攻擊”，這是一種針對 Android 平台的已知攻擊類型。此類攻擊最有可能用于在使用者的 Android 裝置上安裝惡意軟體，還可用于使惡意軟體完全控制裝置。在最壞的情況下，該漏洞可導緻手機無法使用（即“變磚”）或安裝任意惡意軟體，包括但不限于勒索軟體或資訊竊取程式。簡單說來，該漏洞可用于控制、鎖定被攻擊裝置并在之後竊取資訊。
在“覆寫攻擊”中，攻擊者的應用會在裝置上運作的其他視窗和應用上繪制（或者說“覆寫”）一個視窗。如果得逞，則攻擊者将會誘騙使用者，使其将自己點選的入侵視窗當作正常視窗。在下圖的示例中，攻擊者讓使用者以為自己是在通過單擊來安裝更新檔，但實際上使用者單擊後會授予 Porn Droid 惡意軟體對裝置的完全管理者權限。
您可以看到這種攻擊是如何誘騙使用者無意中在裝置上安裝惡意軟體的。它還可用于授予惡意軟體對裝置的完全管理權限。
覆寫攻擊也可通過在裝置上顯示無法關閉的視窗，進而創造拒絕服務條件。這正是攻擊者在移動裝置上發起勒索軟體攻擊所使用的方式。
當然，覆寫攻擊可在一次攻擊中實作以下三個目的：
誘騙使用者在裝置上安裝惡意軟體。
誘騙使用者授予惡意軟體對裝置的完全管理權限。
使用覆寫攻擊鎖定裝置并以此索要贖金。
覆寫攻擊并不是新生事物，此前就已經引起過人們的關注。但在此之前，根據 IEEE 安全與隐私期刊中的最新研究結果，所有人都認為試圖發起覆寫攻擊的惡意應用要想成功，必須克服兩大障礙：
必須在安裝時明确要求使用者授予其 “draw on top” 權限。
必須通過 Google Play 進行安裝。
這些都是重要的緩解因素，正因如此，覆寫攻擊并沒有被視為嚴重威脅。
但是，我們新的 Unit 42 研究顯示，有一種途徑可以繞過這些緩解因素發起覆寫攻擊。我們的研究人員發現，如果惡意應用利用這個新漏洞，那麼它隻需安裝在裝置上即可發起覆寫攻擊。特别是，這意味着來自網站和除 Google Play 之外的其他應用商店的惡意應用均可發起覆寫攻擊。值得注意的是，來自網站和除 Google Play 之外的其他應用商店的應用是全球 Android 惡意軟體的重要來源。
其中一個特定漏洞可影響名為 “Toast”（吐司）的 Android 功能。“Toast” 是一種在螢幕上“彈出”（就像烤吐司一樣）的通知視窗。“Toast” 通常用于在其他應用之上顯示消息和通知。
與 Android 中的其他視窗類型不同，Toast 不需要相同的權限，是以适用于以前的覆寫攻擊的緩解因素在此并不适用。此外，我們的研究人員也已概述了如何建立覆寫整個螢幕的 Toast 視窗，是以使用 Toast 建立與正常應用視窗功能相同的視窗是可能的。
根據這項最新研究，覆寫攻擊的風險便具有更高的嚴重性。幸運的是，最新版本的 Android 從一開始即可免受這些攻擊的影響。但是，大多數使用舊版本 Android 的使用者卻容易受到攻擊。這意味着對于所有使用 8.0 之前版本的 Android 使用者來說，更新裝置至關重要。您可以從移動營運商和手機制造商處了解關于更新檔和更新可用性的資訊。
當然，防範惡意應用最好的途徑之一就是僅從 Google Play 安裝 Android 應用，因為 Android 安全團隊始終積極篩選惡意應用并從一開始就将其排除在商店之外。
原文釋出時間為： 九月 15, 2017
本文作者：aqniu
本文來自雲栖社群合作夥伴安全牛，了解相關資訊可以關注安全牛。