网络安全机构Zimperium最近发现了Android设备的一个漏洞，攻击者可利用该漏洞，在设备主人不知觉的情况下远程访问设备。Android 2.2到5.1的所有版本上均存在此漏洞，预计会有95%的Android设备受到影响。该公司计划在8月份举行的2015黑帽大会及Def Con黑客大会上披露自己的发现。

Zimperium是在一个名为Stagefright的媒体库上发现了多个漏洞的。漏洞的利用过程是这样的。黑客可以使用某人的电话号码通过彩信的方式发送一个媒体文件，然后获得访问设备的入口。不过更严重的是设备主人甚至永远都不会知道—攻击者可以在机主睡觉的时候发送木马、访问手机，然后删除手机被黑的证据。一旦准备就绪，攻击者即可在远程操控手机的麦克风、窃取文件、查看邮件并获取个人证书等。

新发现的这一漏洞尤其具有危险性，因为它不像网络钓鱼等攻击手段，需要打开攻击者发送的文件或链接才会感染，哪怕受害者不做任何事情它也能偷偷地入侵设备并在用户发现前将证据抹掉。

Google方面已经给Android Open Source Project打了补丁并向合作伙伴提供，但是考虑到很多Android手机的系统更新速度相对滞后，安全起见用户最好还是主动一点找运营商或设备供应商去索取更新。不过Google也表示，包括新一点的设备在内的大多数Android设备已经设置了多种技术来保护系统，并且还有应用沙盒来将用户数据与其他应用进行区隔，所以漏洞的利用会更加困难。

按照IDC的预测，到今年年底，Android设备的占有率将达到79.4%，出货量越达11.5亿，远超苹果的2.37亿出货量及16.5%额占有率。但是根据安全机构F-Secure的数据，Android也是移动恶意软件的首要攻击目标，99%的恶意软件都把Android作为攻击对象。随着智能手机在电子商务、支付等方面的使用越来越频繁，积累的隐私数据越来越多，安全问题必须引起用户的高度重视。

本文参考了多个信息来源：venturebeat.com、forbes.com、cnet.com

转自 http://36kr.com/p/5035809.html

PS:Stagefright似乎是ANDROID 2.3才开始有的