360发现安卓“穿云箭”组合漏洞 携手移动安全联盟推“先行者”行动

北京时间1月22日，“穿云箭”组合漏洞媒体沟通会于360大厦召开。上周，谷歌官方发文致谢360 Alpha团队，并向360 Alpha团队负责人龚广颁发了总额为112500美金的安卓漏洞奖励计划（ASR）史上最高金额的奖金。360 Alpha团队在2017年8月向谷歌提交了关于攻破Pixel手机的“穿云箭”组合漏洞报告。

“穿云箭”组合漏洞可以彻底远程攻破谷歌Pixel手机，对用户的隐私及财产安全造成极大的威胁。为了保护用户的手机安全，360 Alpha团队在17年8月将该组合漏洞报告给谷歌，已成功帮助其修复Android 系统和Chrome浏览器。

同时，为了帮助国内广大手机厂商减少等待补丁下放时间，能第一时间发现漏洞并进行修补。在媒体沟通会上，360携手移动安全联盟（MSA）推出了“先行者”行动计划。

会议现场，MSA相关负责人表示：“通过携手移动安全联盟，360能与厂商提前共享漏洞信息，预先防御，及时修补漏洞，使移动安全防线前移，营造良性手机安全生态环境，联手保护手机用户的使用安全。”

最难攻破手机首次被破解 360团队获得谷歌ASR史上最高奖金

“在安全圈内，谷歌的Pixel手机一直被誉为最难被攻破的手机，在移动安全领域的最高赛事Mobile Pwn2Own 2017黑客大赛也是唯一未被攻破的移动设备。并且，Google Pixel不仅仅没有被攻破，竟无人报名尝试挑战，可见其难度之大。”360助理总裁兼首席安全工程师郑文彬介绍道。

图：360助理总裁兼首席安全工程师郑文彬现场演讲

为了奖励此次360 Alpha团队为保护手机用户安全做出的贡献，谷歌向360 Alpha团队负责人龚广颁发了总额为112500美金的奖励（包括105000的Android奖励和7500的Chrome奖励），这是自2015年谷歌设立安卓漏洞奖励计划（ASR）三年来给出的史上最高奖励。

图：谷歌团队发文致谢360团队

之所以此次Google会颁发如此高的奖金，一方面是由于“穿云箭”组合漏洞的影响面广，未修复前大部分安卓手机都可能会被黑客利用这个组合漏洞攻破。另一方面该漏洞是基于底层系统存在的，能影响手机设备上所有应用，甚至包括电话短信等基础应用，造成的危害最大。不法分子可利用该漏洞获取用户短信验证码、支付应用权限等，对用户的个人隐私和财产都造成极大威胁。

“但实际上，360 Alpha 团队在2017年8月就发现了‘穿云箭’组合漏洞，并在第一时间就提交给谷歌官方。”郑文彬进一步补充道。

这两个漏洞分别是基于Chrome浏览器的V8引擎漏洞CVE-2017-5116，以及Android系统漏洞CVE-2017-14904，是ASR首个可以远程有效利用的系列漏洞。其中，Chrome浏览器漏洞CVE-2017-5116可被用于在Chrome浏览器沙盒内远程执行代码。

360携手移动安全联盟 让厂商成为漏洞修补“先行者”

目前，我国Android系统手机用户占比超过50%，数量非常庞大。然而由于补丁的下放延迟，导致市场上的Android手机会存在漏洞修复相对滞后的情况。360手机卫士与中国泰尔实验室联合发布的统计数据显示，在测试手机中，平均未修复漏洞比为19%，平均每款终端含有未修复漏洞5个左右。

大多数手机厂商，对于Android系统漏洞的修复都是在等待谷歌官方的补丁。然而，从白帽子发现漏洞提交给谷歌，谷歌收到漏洞报告进行修复，最后下发补丁给厂商需要一段相对漫长的时间。在这段期间，手机用户往往会因为各类漏洞而面临着一定的安全威胁。

图：谷歌2017漏洞致谢榜

作为国内首屈一指的安全公司，2017年，360在谷歌漏洞致谢榜上，便以超200枚安卓漏洞致谢数量再次排名榜首，漏洞总数占本年度安卓致谢总数的近一半。实现了谷歌年度漏洞致谢榜单上的三连冠，遥遥领先于趋势科技、Google Project Zero等国际顶级黑客天团。

2017年12月，中国信息通信研究院泰尔终端实验室牵头会同设备生产厂商、互联网厂商、安全厂商、高等院校共同发起成立移动安全联盟（Mobile Security Alliance，简称MSA）。

因此，作为移动安全联盟理事成员的360，与移动安全联盟携手，推出“先行者”行动，与移动安全联盟一起，帮助国内移动厂商成为漏洞修补的“先行者”。

图：移动安全联盟标准政策组组长翟世俊博士现场演讲

未来，“先行者”行动将配合移动安全联盟漏洞修补相关计划，360在发现漏洞信息的第一时间与移动安全联盟成员共享，从政策、标准、检测、修复、应急响应等方面积极推进，与合作厂商同步，判断漏洞风险，并联合制定防御方案，确保最短时间内对漏洞进行修复。

同时，也鼓励移动安全联盟成员积极共享自己的技术力量，让中国移动厂商能够成为全球移动安全漏洞修复的“先行者”。

以下为华盟君现场采访问答

问：我想问一下360阿尔法团队负责人龚广老师，你们也参加了Mobile Pwn2Own2017，我想问一下这个漏洞为什么没有作为Mobile Pwn2Own2017的利器用，因为也能拿很多分和奖金，这个是不是跟你们后面专门想做移动安全这件事情有一些储备有关系？

龚广：我们主要还是出于用户安全的考虑，因为如果我们选择参与Mobile Pwn2Own漏洞修复时间会推迟两个月或者三个月。我们漏洞发现第一时间提交谷歌，谷歌能第一时间把这个漏洞修复了，能最大的保护用户的安全，出于这个考虑。

问：请问移动安全联盟标准政策组组长翟世俊博士，启动“先行者”计划，对移动安全联盟有什么意义？

翟世俊：对移动安全联盟来说，我们保护移动安全相关的一些企业，因为针对漏洞这块来说的话，如果提前向社会公布的话，一方面是容易引起用户的恐慌。另外，刚才这两位专家提到的，有些漏洞修复比较麻烦，短时间无法修复或者有些厂商没有这个能力。如果我们通过360这种安全企业一块推出一个比如先行者的计划的话，我们会把漏洞信息及时同步给移动终端厂商，提前共享这个漏洞信息，安全企业也会给出一些修复的建议或者提供一些修复的能力，我觉得这对移动安全产业的发展是非常有帮助的。谢谢。

郑文彬：这个“先行者”计划和先前一个最大的不一样，原来白帽子发现漏洞了报告给谷歌，谷歌修复了厂商再修复，这其实有一个过程。谷歌修复之后这个漏洞就公开了，厂商这段时间是有危险，我们现在会跟谷歌同步，谷歌拿到的同时厂商也能拿到信息，大家一起来修复，尤其国内厂商以及国内厂商的用户更快的受到这样的保护，把整个保护的周期往前提，这是具有比较重大意义的。

问：360阿尔法对于其他团队而言，你们的优势在哪里？

答：360阿尔法团队致力于移动安全研究，尤其擅长Android系统漏洞以及移动浏览器漏洞的挖掘与利用，阿尔法团队因发现近百个安全漏洞而多次获得Google公开致谢。

问：龚广老师，对于同样致力于安全或者挖洞的小团队有什么好一点的建议？

答：如果刚接触漏洞挖掘，对于挖掘的目标得有非常的了解，它与外界交互的途径，例如系统校验和远程调用方式以及交互的流程都得非常熟悉，通过一些边边角角特别是一些遗漏的模块比较着重一点。

问：您对于普通人而言有什么好一些的建议或者意见？

答：不要点击不信任的链接以及扫描陌生的二维码，APP通过安全的厂商或者官方应用商店下载。

漏洞利用演示视频

http://v.youku.com/v_show /id_XMzM1MDI5NzM5Mg

链接:https://pan.baidu.com/s/1nw37t5v 密码:8jcz