donews1月9日消息（记者费倩文）1月9日，腾讯安全玄武实验室正式对外披露androidapp里普遍存在的“应用克隆”这一移动攻击威胁模型。受此威胁模型影响，支付宝、携程、饿了么等近十分之一的主流app都有信息、账户被盗的风险。据了解，“应用克隆”漏洞仅对安卓系统有效，ios系统不受影响。
腾讯安全玄武实验室负责人于旸表示，该攻击模型是基于移动应用的一些基本设计特点导致的，所以几乎所有移动应用都适用该攻击模型。在这个攻击模型的视角下，很多以前认为威胁不大、厂商不重视的安全问题，都可以轻松“克隆”用户账户，窃取隐私信息，盗取账号及资金等。基于该攻击模型，腾讯安全玄武实验室以某个常被厂商忽略的安全问题进行检查，在200个移动应用中发现27个存在漏洞，比例超过10%。
玄武实验室以支付宝app为例展示了“应用克隆”攻击的效果：在升级到最新安卓8.1.0的手机上，利用支付宝app自身的漏洞，“攻击者”向用户发送一条包含恶意链接的手机短信，用户一旦点击，其支付宝账户一秒钟就被“克隆”到“攻击者”的手机中，然后“攻击者”就可以任意查看用户账户信息，并可进行消费。目前，支付宝在最新版本中已修复了该漏洞。
据介绍，“应用克隆”对大多数移动应用都有效。而玄武实验室此次发现的漏洞至少涉及国内安卓应用市场十分之一的app，如支付宝、携程、饿了么等多个主流app均存在漏洞，所以该漏洞几乎影响国内所有安卓用户。
国家互联网应急中心网络安全处副处长李佳表示，在获取到漏洞的相关情况之后，中心安排了相关的技术人员对漏洞进行了验证，并且也为漏洞分配了漏洞编号(cve201736682)，于2017年12月10号向27家具体的app发送了漏洞安全通报，提供漏洞详细情况及建立了修复方案。目前有的app已经有修复了，有的还没有修复。
考虑到该漏洞影响的广泛性，以及配合“应用克隆”攻击模型后的巨大威胁，腾讯安全玄武实验室现场发布了“玄武支援计划”。于旸表示，由于对该漏洞的检测无法自动化完成，必须人工分析，玄武实验室无法对整个安卓应用市场进行检测，所以通过此次新闻发布会，希望更多的app厂商关注并自查产品是否仍存在相应漏洞，并进行修复。对用户量大、涉及重要数据的app，玄武实验室也会提供相关技术援助。（完）