谷歌多年来一直忽略其身份验证器应用程序中的一个关键漏洞

安全研究人员发现了第一个能够在生成双因素身份验证代码时获取这些代码的 Android 恶意软件。 而且，Google Authenticator 用户是目标该恶意软件最初由ThreatFabric在 2 月份发现并由ZDNet报告，名为 Cerberus。该漏洞是木马和远程访问木马或 RAT 的混合体，利用了谷歌 2FA 软件中的严重缺陷。

一旦 Android 用户被 Cerberus 感染，网络分子就可以使用恶意软件的 RAT 功能远程连接到该设备。

然后，他们可以打开 Google 的 Authenticator 应用程序，生成一次性密码并截取该密码的屏幕截图，从而无需触摸手机即可访问用户帐户。

然后，恶意软件的木马功能可以从设备上的任何移动应用程序中窃取凭据。

虽然 Cerberus 是在 2 月份确定的，但该传奇的最新更新来自Nightwatch Cyber​​security上周发布的研究。

也就是说，谷歌早在 2014 年就可以修补恶意软件利用的漏洞。

据 Nightwatch 称，该恶意软件能够利用 Authenticator 应用程序，因为谷歌未能检查内置于 Android 操作系统中的阻止屏幕截图选项。

这是因为，虽然有一个选项可以阻止应用程序截取谷歌操作系统中的其他应用程序，但该公司并未将预防措施应用于 Authenticator 应用程序。

屏幕截图选项首先在 2014 年 10 月由 GitHub 用户ThomasHabets引起了谷歌的注意，然后又在 2017 年被 Nightwatch 再次引起了谷歌的注意，尽管谷歌没有对这两个警告采取行动。

幸运的是，据 ThreatFabric 称，Cerberus 的代码窃取功能仍在开发中，尚未在实际攻击中检测到。

Trusted Reviews 已联系 Google 征求意见，但尚未收到回复。

　　免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！