[[81721]]

本月早些時候一家安全研究公司第一次公布該漏洞，并指出攻擊者可以通過漏洞在運行谷歌操作系統的手機上安裝代碼，然后控制Android手機。賽門鐵克表示其研究人員已監控到中國已出現兩個應用程序被黑客利用溢出感染。

谷歌已采取行動來解決問題，并在兩周前給手機制造商發布補丁，但是補丁尚未普及到各手機用戶手中。與此同時，谷歌還在其游戲市場掃描該溢出。不過谷歌無法保證消費者從其他網站下載軟件的安全性。

安全研究公司BlueBox 在今年 7月3日首先公布發現谷歌主密鑰漏洞。據悉，Android操作系統可以合法掃描包含加密簽名的所有Android應用程序，并且程序不會被篡改。但是BlueBox表示已經發現一種方法可以在更改應用程序代碼的同時不會影響加密簽名。并且BlueBox提出警告，這項技術可以被用來在Android設備上安裝木馬，閱讀設備上的任何數據、竊取密碼、復制電話號碼、拍照并執行其他功能。

根據賽門鐵克報告，黑客已經利用這個漏洞安裝Android.Skullkey惡意軟件。該惡意軟件能夠從被感染手機讀取數據并獲取該手機收發的短信，甚至能夠將被感染手機變成惡意攻擊者的短信服務付費方。

賽門鐵克還表示已監控到中國市場兩款應用程序已被掛馬，并在報告里提醒該公司預計攻擊者將會繼續利用這個漏洞來感染毫無戒備的Android設備用戶。

賽門鐵克同時建議用戶僅從信譽良好的Android應用程序市場下載應用程序。并補充道，已被感染的用戶可以進入設置菜單手動刪除相關軟件。

一位電信顧問表示這個消息凸顯了谷歌Android發布更新所面對的困局。CCS Insight研究主管本-伍德（Ben Wood）則表示，每當谷歌發布更新時，設備制造商需要驗證更新，同時，網絡運營商也需要檢測代碼。這便是Android設備從軟件到硬件以及網絡服務整個過程需要多家運營商所帶來的后果，每一家都只關注自己用戶界面的運行情況。相比之下，蘋果公司則是直接面向消費者推出更新，節省很多環節。