新闻链接：http://www.2cto.com/News/201505/400274.html
新闻时间：2015-05-19
新闻正文： 5月18日，猎豹移动安全实验室发布警告，由于多款流行桌面软件存在漏洞，导致安卓系统的一个老漏洞可能会被黑客利用，伪造钓鱼短信，骗取银行卡密码等重要信息。这些桌面应用没有针对该漏洞做屏蔽处理，当伪造短信进入收件箱时会像正常短信一样提示，从而成为黑客钓鱼攻击的幕后推手。

存在漏洞的包括GO消息提示器、APUS消息提醒等12款插件，这些插件通常集成在相对应的桌面应用中，拥有大量用户。此前，猎豹已经将漏洞详细信息通知相关厂商。在官方给出解决方案之前，用户可以安装猎豹安全大师和猎豹清理大师，对漏洞进行弥补防范。

猎豹移动安全专家介绍说，爆出漏洞的短信提示插件，在接收时没有限制消息来源，导致第三方应用可以伪造假短信，触发短信消息提醒。这样会让用户误以为黑客发来的短信是正规短信，从而上当受骗。

自2014年下半年以来，“10086积分诈骗”等手机钓鱼案例暴增，钓鱼短信是整个骗局中最关键的部分之一，用户点击浏览短信中的钓鱼网址后，被骗走银行卡账号密码。目前发送钓鱼短信的主要渠道是伪基站，但随着国家对伪基站打击力度的加强，利用伪基站发送诈骗短信的风险在加大。黑客对应用漏洞利用的研究越来越深入，存在漏洞的安卓应用可能成为钓鱼短信发送的新渠道，值得用户提高警惕。

经过猎豹移动安全实验室监测，我们发现以下12款应用存在短信伪造漏洞：
应用名称        下载量
APUS消息提醒        10,000,000 - 50,000,000
单手划划        50,000,000 - 100,000,000
GO消息提示器        100,000,000 - 500,000,000
360安全桌面        5,000,000 - 10,000,000
EverythingMe Launcher        5,000,000 - 10,000,000
Square Dodol Luncher Theme        1,000,000 - 5,000,000
dodol 桌面         10,000,000 - 50,000,000
Hola 消息提醒        1,000,000 - 5,000,000
Launcher 8 free (仿wp8风格桌面)        10,000,000 - 50,000,000
MXHome Launcher 3.1.0        1,000,000 - 5,000,000
Solo桌面        50,000,000 - 100,000,000
畅游桌面        5,000,000 - 10,000,000

此漏洞本质上由Android系统漏洞衍生，4.4及以上的官方安卓版本不存在该问题，您可以继续放心使用这些桌面应用，安卓系统版本安全性列表如下：
系统版本        是否受影响
Android 4.4 以下原生系统        受影响
flymeOS        受影响
Funtouch        受影响
Android 4.4及其以上原生系统        不受影响
CyanogenMod        不受影响

针对该漏洞，猎豹安全大师和猎豹清理大师已经紧急提供技术解决方案，下载安装后即可检测漏洞是否存在，并帮用户弥补防范。

[课程]Android-CTF解题方法汇总！