7月25日消息，據(jù)國外媒體報道，賽門鐵克(Symantec)公司聲明已確認第一個已知惡意利用Android主密鑰漏洞。本月早些時候一家安全研究公司第一次公布該漏洞，并指出攻擊者可以通過漏洞在運行谷歌操作系統(tǒng)的手機上安裝代碼，然后控制Android手機。

賽門鐵克表示其研究人員已監(jiān)控到中國已出現(xiàn)兩個應(yīng)用程序被黑客利用溢出感染。

谷歌已采取行動來解決問題，并在兩周前給手機制造商發(fā)布補丁，但是補丁尚未普及到各手機用戶手中。與此同時，谷歌還在其游戲市場掃描該溢出。不過谷歌無法保證消費者從其他網(wǎng)站下載軟件的安全性。

安全研究公司BlueBox 在今年7月3日首先公布發(fā)現(xiàn)谷歌主密鑰漏洞。據(jù)悉，Android操作系統(tǒng)可以合法掃描包含加密簽名的所有Android應(yīng)用程序，并且程序不會被篡改。但是BlueBox表示已經(jīng)發(fā)現(xiàn)一種方法可以在更改應(yīng)用程序代碼的同時不會影響加密簽名。并且BlueBox提出警告，這項技術(shù)可以被用來在Android設(shè)備上安裝木馬，閱讀設(shè)備上的任何數(shù)據(jù)、竊取密碼、復(fù)制電話號碼、拍照并執(zhí)行其他功能。

根據(jù)賽門鐵克報告，黑客已經(jīng)利用這個漏洞安裝Android.Skullkey惡意軟件。該惡意軟件能夠從被感染手機讀取數(shù)據(jù)并獲取該手機收發(fā)的短信，甚至能夠?qū)⒈桓腥臼謾C變成惡意攻擊者的短信服務(wù)付費方。

報告顯示已監(jiān)控到中國市場兩款應(yīng)用程序已被掛馬，并在報告里提醒該公司預(yù)計攻擊者將會繼續(xù)利用這個漏洞來感染毫無戒備的Android設(shè)備用戶。

專家建議用戶僅從信譽良好的Android應(yīng)用程序市場下載應(yīng)用程序。并補充道，已被感染的用戶可以進入設(shè)置菜單手動刪除相關(guān)軟件。

一位電信顧問表示這個消息凸顯了谷歌Android發(fā)布更新所面對的困局。CCS Insight研究主管本-伍德(Ben Wood)則表示，每當(dāng)谷歌發(fā)布更新時，設(shè)備制造商需要驗證更新，同時，網(wǎng)絡(luò)運營商也需要檢測代碼。這便是Android設(shè)備從軟件到硬件以及網(wǎng)絡(luò)服務(wù)整個過程需要多家運營商所帶來的后果，每一家都只關(guān)注自己用戶界面的運行情況。相比之下，蘋果公司則是直接面向消費者推出更新，節(jié)省很多環(huán)節(jié)。