轉載「多家企業所屬的 Android 軟體憑證遭駭侵者用於簽署惡意 App」訊息

【行動裝置資安訊息】

🖊🖊🖊多家企業所屬的 Android 軟體憑證遭駭侵者用於簽署惡意 App📱📱📱

Google 資安研究團隊發現，有多個由 Android OEM 設備廠商使用，用來進行 Android 軟體數位簽章的憑證平台，遭到駭侵者利用於簽署內含惡意程式碼的 Android App。

OEM Android 設備廠商使用平台憑證來簽署位於裝置核心 ROM 映像檔中的 Android 作業系統程式碼與相關 App，並給予這些體較高的執行權限，例如撥打、轉接或掛斷電話、安裝或移除程式套件、收集裝置資訊等較敏感的操作。

Google Android 資安團隊的一位資安專家指出，一旦有任何內含惡意軟體的程式碼使用該平台憑證來進行簽署，即可取得相同的高執行權限；目前觀察到有不少惡意軟體程式套件都使用了來自 Samsung、LG、MediaTek 三家 Android OEM 廠商憑證平台來簽署，因此內含來自這些平台的 SHA 256 雜湊和數位簽章。

Google 表示將在 Android 系統與 Google Play Store 中加強對這類濫用簽署機制的惡意軟體，用戶也應使用最新版本的 Android 系統，以獲得相關防護能力。

 詳細資訊請參考：https://www.twcert.org.tw/tw/cp-104-6775-6f8fb-1.html