摘 要

Android系统漏洞分析：

此次报告评测的64个系统漏洞，按照Google官方对系统漏洞的危险评级标准，按照危险等级递减的排序规则，共分为严重、高危、中危三个级别。分别有严重级别漏洞11个，高危级别漏洞36个，中危级别漏洞17个。此次系统安全分析结果显示：87.5%的Android设备受到中危级别漏洞的危害，93.9%的Android设备存在高危漏洞，88.1%的Android设备受到严重级别的漏洞影响。

安卓手机APP威胁形势分析：

2017年12月通过360显危镜检查的约1.8万款安卓主流APP应用中，发现了99.5%的安卓应用存在威胁风险，平均每个应用威胁风险数量为38.6个。可见安卓市场上的APP存在严重的安全隐患。

恶意程序：

2017年全年，360互联网安全中心累计截获Android平台新增恶意程序样本757.3万个，平均每天新增2.1万恶意程序样本。

2017年全年，从手机用户感染恶意程序情况看，360互联网安全中心累计监测到Android用户感染恶意程序2.14亿，平均每天恶意程序感染量约为58.5万人次。

Android平台挖矿木马：

从2013年开始至2018年1月，360烽火实验室共捕获Android平台挖矿木马1200余个，其中仅2018年1月Android平台挖矿木马接近400个，占全部Android平台挖矿类木马近三分之一。

Android平台挖矿木马伪装成各类应用软件，统计发现其中工具类（20%）、下载器类（17%）、壁纸类（14%）是最常伪装的应用类型。

Android平台勒索软件：

2017年1月至9月，360烽火实验室共捕获手机勒索恶意软件50万余个，平均每月捕获手机勒索软件5.5万余个。其中1月到5月手机勒索软件呈现波动式增长，

今年我们发现了勒索软件使用的三种新型的技术手段：语音识别、二维码和文件加密。

钓鱼网站：

2017年，360手机卫士共为全国手机用户拦截各类钓鱼网站攻击28.8亿次，相比2016年19.5亿增长了47.7%，占360各类终端安全产品拦截钓鱼网站总量（406.5亿次）的7.1%。

从钓鱼网站拦截类型来看，赌博博彩类比重最高，为73.2%。其他占比较高的类型包括虚假购物（9.2%）、虚假招聘（6.6%）、金融证券（5.9%）、假药（1.6%）以及钓鱼广告（1.4%）类型的钓鱼网站。

骚扰电话：

2017年，用户通过360手机卫士标记各类骚扰电话号码（包括360手机卫士自动检出的响一声电话）约2.42亿个，平均每天被用户标记的各类骚扰电话号码约66.4万个。

2017年共拦截380.9亿次，首次出现下降确实，这说明政府、 运营商及相关企业联手打击骚扰电话取得了一定成效，遏制住了其不断上涨的势头。平均每天为全国用户识别与拦截1.04亿次。从月度数据看，3月拦截的最多，达61.3亿次。

垃圾短信：

2017年，360手机卫士共为全国用户拦截各类垃圾短信约98.5亿条，平均每天拦截2698.6万条。比较近几年数据，整体呈现快速下降的趋势，从2012年的700多亿，下降到2017年的不到百亿。

2017年0.8%的垃圾短信是由伪基站发送的。相比2016年的4%，下降了3.2个百分点。可以说前两年疯狂的伪基站短信基本上已经被遏制住。

安卓系统漏洞形势分析

本章基于“360透视镜”应用用户主动上传的80万份漏洞检测报告，检测内容包括近两年（最新漏洞检测更新至2017年12月）Android与Chrome安全公告中检出率最高的64个漏洞，涵盖了Android系统的各个层面，且都与具体设备的硬件无关。我们统计并研究了样本中的漏洞测试结果数据，并对安全状况予以客观具体的量化，希望引起用户和厂商对于手机系统漏洞的关注与重视，为Android智能手机用户的安全保驾护航，并希望以此来推进国内Android智能手机生态环境的安全、健康发展。

一、 手机系统安全性综述

系统漏洞的危险等级

此次报告评测的64个系统漏洞，按照Google官方对系统漏洞的危险评级标准，按照危险等级递减的排序规则，共分为严重、高危、中危三个级别。即“严重”级别的漏洞对系统的安全性影响最大，其次为“高危”级别漏洞，然后为“中危”级别漏洞，低危漏洞未入选。

在这64个漏洞中，按照其危险等级分类，有严重级别漏洞11个，高危级别漏洞36个，中危级别漏洞17个。其中高危以上漏洞对用户影响较大，在此次安全评测中对此类漏洞的选取比例达73.4%。

此次系统安全分析结果显示： 87.5%的Android设备受到中危级别漏洞的危害，93.9%的Android设备存在高危漏洞，88.1%的Android设备受到严重级别的漏洞影响。

系统漏洞的危害方式

此次报告评测的64个系统漏洞，参照Google官方对系统漏洞的技术类型分类标准并加以适当合并，按照各漏洞的明显特征分类，共分为远程攻击、权限提升、信息泄漏三个类别。远程攻击漏洞是指攻击者可以通过网络连接远程对用户的系统进行攻击的漏洞，权限提升是指攻击者可以将自身所拥有的权限得以提升的漏洞，信息泄漏则为可以获得系统或用户敏感信息的漏洞。

在这64个漏洞中，按照其危害方式分类，有远程攻击漏洞30个，权限提升漏洞24个，信息泄漏漏洞10个。

此次系统安全分析结果显示：92.3%的设备存在远程攻击漏洞，91.5%的设备存在权限提升漏洞，85.6%的设备存在信息泄露漏洞。与往期相比，虽然检测漏洞数又有所增加，但影响设备比例有所降低，主要原因为部分设备的厂商大幅度更新手机的安全性，将设备的补丁等级保持与谷歌同步，修复了所有漏洞。

为了观察不同类别的漏洞中哪些影响的设备比例最多，我们分别对三种类别的漏洞进行统计排序，挑选出了各类别中影响设备比例占比前三名的漏洞，其中影响最广泛信息泄露漏洞仍然为CVE-2016-1677，72.5%的设备都存在这个漏洞，环比上升1.8%；权限提升漏洞中，CVE-2017-0666依然影响最广，77.7%的设备均受影响，影响比例下降5.2%；远程攻击漏洞中，CVE-2015-7555影响设备依然最多，影响77.7%的设备，下降10.5%。而第三季度中我们关注的CVE-2016-3861在本季度中影响设备比例已经退出Top3，取代它的位置是漏洞CVE-2015-6764，影响63.0%的设备。

第二季度中Android新修复并公开的CVE-2015-7555漏洞在本季度中影响设备数量然十分庞大，同比仅降低了10.5%，并且预计在未来一段时间仍会如此。CVE-2017-13156即是12月披露的“Janus”漏洞，影响59.7%的设备。

远程攻击漏洞，是危险等级高、被利用风险最大的漏洞，也是我们最关注的漏洞，为此我们统计了每期报告中远程攻击漏洞排名Top3的趋势变化，结果如下图所示。

远程攻击漏洞整体呈下降趋势，但是受漏洞影响的设备依旧保持在较高比例，4成以上的用户手机仍然处于被远程攻击的风险之中，安全形势并不乐观。

系统浏览器内核的安全性

系统浏览器内核是用户每日使用手机时接触最多的系统组件，不仅仅是指用户浏览网页的独立浏览器，实际上，许多安卓应用开发者考虑到开发速度、保障不同设备之间的统一性等因素，会使用系统提供的浏览器内核组件。因而用户在每日的手机使用中，大多会直接或间接地调用系统浏览器内核。

在此次评测中，系统浏览器内核是指Android系统的Webview组件的核心，在Android 4.4之前，Android系统的Webview是基于Webkit的，在Android 4.4及以后的系统中，Webview的核心被换成了Chromium(Chrome的开源版本，可近似理解为Chrome)。

在统计的样本中，Webkit内核版本由于其版本较为一致，故在示意图中仅占一块，其余为Chrome内核的不同版本。本季度Webkit所占比重几乎为0%，较上季度降低9%。截止至本季度，当前Google发布的Android平台Chrome稳定版的内核的最新版本为Chrome 60，而在此次检测中有1%的用户将自己手机中的浏览器内核升级至最新。而从图中可以看出，Chrome内核版本大于等于55的设备占24%。对比上一季度的数据，版本大于50的设备比例有所增长，从18%增至27%。在此次检测中，并且最新版本60在国内用户之中占比1%，同比上季度增长0.91%，说明国内厂商有更新浏览器内核的举措。总的来说，浏览器内核整体版本有所跟新推进，国内安卓生态圈中对浏览器内核的更新进度相对有所增强，但仍存在严重的更新滞后问题，第二节远程攻击漏洞中跻身Top3的CVE-2015-6764，即是浏览器内核漏洞，足以说明这一点。

为了研究不同浏览器内核版本的安全性，我们统计了不同版本的浏览器内核的平均漏洞个数。下图显示了不同Webview版本平均漏洞数量，其中内核版本在Chrome 46以下的版本中漏洞数量明显高于Chrome 47以上版本，Chrome 55以上版本漏洞数量相对最少。从图中可以看出较新版本浏览器内核漏洞数量相对较少，其中Chrome57版本及以上的设备平均漏洞检出情况则为0。以上数据充分说明保持最新版本的浏览器内核可以十分有效增强手机浏览器内核的安全性。

浏览器内核漏洞多数可通过远程方式利用，因而对于用户的手机安全危害较大。安卓系统浏览器内核漏洞的分布情况如下图所示。其中87.4%的设备存在至少一个浏览器内核漏洞，18.2%的设备同时存在4个浏览器内核漏洞，为漏洞数量最多的设备。有12.6%的设备不受这些漏洞影响。较上一季度，浏览器安全情况有所上升，但上升比例不大。整体来看浏览器安全状态有所缓解，浏览器内核版本的更新所带来的效果十分显著，但老旧设备的升级情况无明显好转，用户依然暴露在浏览器漏洞的威胁之中。

文章来源:行业报告研究院