网络安全公司Zimperium研究人员２７日警告，全球应用最广泛的移动设备操作系统之一安卓（Android）存在“致命”安全漏洞，“黑客”只需简单发送一封彩信便能在用户毫不知情的情况下完全控制手机。

　　彩信入侵

　　Zimperium当天在博客发帖说，公司研究人员乔舒亚·德雷克在安卓平台的核心组成部分，即主要用来处理、播放和记录多媒体文件的Stagefright框架中发现多处安全漏洞。“黑客”只需知道用户手机号码，便可通过发送彩信的方式远程执行恶意代码。具体而言，用户接收彩信后通过浏览器下载一个特制媒体文件，“黑客”就可以发动攻击。

　　最可怕的是，Stagefright框架不只能用来播放媒体文件，还能自动产生缩略图或从视频或音频文件中抽取元数据，这意味着“黑客”可以在用户完全不打开或阅读彩信的情况下入侵手机，甚至赶在用户看到这条彩信前将其删除，神不知鬼不觉地“黑”掉手机，继而远程窃取文件、查收电邮乃至盗取用户名和密码等信息，而用户对这一切全然不知。

　　“这类攻击的目标可以是任何人。”Zimperium公司说，“这些漏洞极其危险，因为它们无需受害人采取任何行动。”

　　涉及面广

　　按这家公司的说法，Stagefright框架的安全漏洞波及安卓多个版本，由于更新较慢，预计当前约有９５％、即多达９.５亿部使用安卓系统的智能手机受到影响。

　　这家公司先前已将这些安全漏洞通报给谷歌公司，同时向后者提供了自行开发的补丁程序。“谷歌行动及时，４８小时内便在内部代码库应用了补丁程序。”Zimperium公司说，“不过，这只是个开始，更新部署将是非常漫长的过程。”

　　目前，谷歌已把补丁程序提供给合作伙伴，但补丁到达终端用户手中往往需要几个月时间。

　　Zimperium公司说，他们将于下月初在美国举行的全球信息安全领域顶尖峰会“黑帽大会”上发布更多相关信息。新华