今日，云平安日报显示，平安研究人员发现了三星(Samsung)的Find My Mobile（FMM）应用程序6.9.25版中的破绽。
他们发现这些破绽可能使流氓应用程序能够挟制FMM应用程序与其底层后端服务器之间的通讯。
破绽详情
FMM应用程序中的一小段旧代码允许恶意应用程序重定向其中一台治理服务器的URL，并强制FMM应用程序更新其所有支持服务器的多个地址。随后，黑客可以使用远程服务器执行间接（MitM）攻击并注入随便操作，挟制整个通讯历程。通过行使应用程序中的这些破绽，攻击可以执行FMM支持的任何操作。例如使用恶意应用程序将手机恢复出厂设置，窃取短信和通话记录，使用自定义图钉和新闻锁定手机，定位用户等
由于FMM支持普遍的行动，因此攻击场景可能从“简朴”的用户监视到装备中所有数据的灾难性擦除。仅通过MitM攻击，攻击者就可以永远监视用户，抢夺装备IMEI ，帐户ID和其他几个个人身份信息（PII）都是永远透明的，受害者永远不会意识到发生了什么，在更严重的情况下，这可能会用于勒索软件，从而将用户锁定在自己的控制局限之外电话并要求赎金，甚至完全擦除装备数据。
付费"勒索"
百度发布第二季度财报：营收260亿元，同比下降1%
黑客使用伪装成盛行应用程序的恶意应用程序挟制Android装备的威胁是异常现实的。去年，CSIS平安小组的恶意软件分析师发现了一个名为“三星更新”的假应用程序，该应用程序为三星手机提供了免费和付费的固件更新，下载次数跨越一千万。
然则，当用户实验免费下载固件时，该应用程序的真实身份凭证就被抓住了。免费固件更新的互联网速率上限为56Kbps，这意味着用户下载一个700MB软件包最多需要四个小时。纵然用户允许以蜗牛的速率安装固件，下载也永远不会完成，而且会在一段时间后超时或失败。同时，该应用程序继续播放一系列广告，守候安装固件包。然后，激励用户选择“通过付费高级软件包快速下载”，以更快的速率下载固件。该应用程序对这些软件包的收费为34.99美元及以上，还为任何网络运营商提供了SIM卡解锁功效，起价为19.99美元。
受影响装备及版本
现在已知 Galaxy S7，Galaxy S8和Galaxy S9 Find My Mobile应用程序6.9.25版中存在此破绽
解决方案
通过官方渠道升级Find My Mobile应用程序至最新版本即可修复
三大重磅奖项揭晓 2020全球智博会为行业加冕
