研究机构发文披露某国产APP恶意利用漏洞，非法提权获取用户隐私及远程遥控

研究机构发文披露某国产APP恶意利用漏洞，非法提权获取用户隐私及远程遥控微信公众号「DarkNavy」发文，称某互联网厂商App利用Android系统漏洞提升权限，进而获取用户隐私及阻止自身被卸载。该互联网厂商在自家看似无害的App里，使用的第一个黑客技术手段，是利用一个近年来看似默默无闻、但实际攻击效果非常好的Bundle风水-AndroidParcel序列化与反序列化不匹配系列漏洞，实现0day/Nday攻击，从而绕过系统校验，获取系统级StartAnyWhere能力。提权控制手机系统之后，该App即开启了一系列的违规操作，绕过隐私合规监管，大肆收集用户的隐私信息（包括社交媒体账户资料、位置信息、Wi-Fi信息、基站信息甚至路由器信息等）之后，该App进一步使用的另一个黑客技术手段，是利用手机厂商OEM代码中导出的root-pathFileContentProvider，进行SystemApp和敏感系统应用文件读写；进而突破沙箱机制、绕开权限系统改写系统关键配置文件为自身保活，修改用户桌面(Launcher)配置隐藏自身或欺骗用户实现防卸载；随后，还进一步通过覆盖动态代码文件的方式劫持其他应用注入后门执行代码，进行更加隐蔽的长期驻留；甚至还实现了和间谍软件一样的遥控机制，通过远端“云控开关”控制非法行为的启动与暂停，来躲避检测。https://mp.weixin.qq.com/s/P_EYQxOEupqdU0BJMRqWsw投稿：@ZaiHuabot频道：@TestFlightCN

中国三大电商巨头之一的拼多多app被爆出间谍木马化

中国三大电商巨头之一的拼多多app被爆出间谍木马化微信公众号「DarkNavy」[发文](https://mp.weixin.qq.com/s/P_EYQxOEupqdU0BJMRqWsw)，称某互联网厂商App利用Android系统漏洞提升权限，进而获取用户隐私及阻止自身被卸载。据信该APP指的是中国三大电商巨头之一“拼多多”。该互联网厂商在自家看似无害的App里，使用的第一个黑客技术手段，是利用一个近年来看似默默无闻、但实际攻击效果非常好的Bundle风水-AndroidParcel序列化与反序列化不匹配系列漏洞，实现0day/Nday攻击，从而绕过系统校验，获取系统级StartAnyWhere能力。提权控制手机系统之后，该App即开启了一系列的违规操作，绕过隐私合规监管，大肆收集用户的隐私信息（包括社交媒体账户资料、位置信息、Wi-Fi信息、基站信息甚至路由器信息等）之后，该App进一步使用的另一个黑客技术手段，是利用手机厂商OEM代码中导出的root-pathFileContentProvider，进行SystemApp和敏感系统应用文件读写；进而突破沙箱机制、绕开权限系统改写系统关键配置文件为自身保活，修改用户桌面(Launcher)配置隐藏自身或欺骗用户实现防卸载；随后，还进一步通过覆盖动态代码文件的方式劫持其他应用注入后门执行代码，进行更加隐蔽的长期驻留；甚至还实现了和间谍软件一样的遥控机制，通过远端“云控开关”控制非法行为的启动与暂停，来躲避检测。

WinRAR 高危漏洞，允许攻击者远程执行恶意代码

WinRAR高危漏洞，允许攻击者远程执行恶意代码此漏洞允许远程攻击者在受影响的RARLABWinRAR安装中执行任意代码。利用此漏洞需要用户交互，因为目标必须访问恶意页面或打开恶意文件。该特定缺陷存在于恢复卷的处理中。该问题是由于缺乏对用户提供的数据进行正确验证而导致的，这可能会导致内存访问超出已分配缓冲区的末尾。攻击者可以利用此漏洞在当前进程的上下文中执行代码。该漏洞于2023年6月8日向供应商报告，于2023年8月17日协调公开发布公告。RARLAB已发布更新来修复此漏洞。参考：；来源：投稿：@ZaiHuaBot频道：@TestFlightCN

［安全: 小米手机发现漏洞允许远程安装恶意程序］

［安全:小米手机发现漏洞允许远程安装恶意程序］小米开发的Android定制系统MIUI发现了一个高危漏洞，允许中间人攻击者在目标设备上以系统权限远程执行任意代码。小米已经释出了修正版本，推荐用户立即升级。发现漏洞的IBM研究人员公布了漏洞的细节：漏洞存在于MIUI的分析包中，使用该分析包的应用都易被中间人远程执行代码，研究人员在包括内置浏览器在内的多个应用中发现了漏洞，如果应用有系统级权限，那么攻击者就能以系统级权限执行代码。漏洞存在的主要原因是MIUI的应用升级是通过HTTP连接。https://securityintelligence.com/remote-code-execution-in-xiaomi-miui-analytics/

Android权限管理将有重大变化：闲置应用无法获取任何隐私信息

Android权限管理将有重大变化：闲置应用无法获取任何隐私信息在下个月的更新中后，所有Android6以上系统的设备在隐私权限管理上都将获得一项新的选择：应用程序权限自动重置。在开启该功能后，当一款App长期闲置时，系统将自动清除为该App授予的所有权限，这能够防止一些App在用户不知情的情况下长期在后台获取个人信息。而当用户再次使用被清除权限的App时，系统将弹出提示用户，询问是否为App恢复权限。——cnBeta

英国隐私监管机构据悉认为谷歌 “隐私沙盒” 技术存在漏洞

英国隐私监管机构据悉认为谷歌“隐私沙盒”技术存在漏洞内部文件显示，英国信息专员办公室（ICO）在一份报告草案中表示，谷歌公司提出的所谓“隐私沙盒”技术存在漏洞，可能会被利用来破坏隐私，识别出本应匿名的用户。ICO认为，基于ICO所称的行业系统性违规行为，该公司很可能会利用这项技术继续在不同网站上跟踪用户。ICO正试图让谷歌做出改变，并与英国竞争与市场管理局分享这一情况。预计ICO将于4月底左右发布报告。（界面新闻）