7月25日消息，據(jù)國外媒體報道，賽門鐵克(Symantec)公司聲明已確認第一個已知惡意利用Android主密鑰漏洞。本月早些時候一家安全研究公司第一次公布該漏洞，并指出攻擊者可以通過漏洞在運行谷歌操作系統(tǒng)的手機上安裝代碼，然后控制Android手機。

賽門鐵克表示其研究人員已監(jiān)控到中國已出現(xiàn)兩個應用程序被黑客利用溢出感染。

谷歌已采取行動來解決問題，并在兩周前給手機制造商發(fā)布補丁，但是補丁尚未普及到各手機用戶手中。與此同時，谷歌還在其游戲市場掃描該溢出。不過谷歌無法保證消費者從其他網(wǎng)站下載軟件的安全性。

安全研究公司BlueBox 在今年7月3日首先公布發(fā)現(xiàn)谷歌主密鑰漏洞。據(jù)悉，Android操作系統(tǒng)可以合法掃描包含加密簽名的所有Android應用程序，并且程序不會被篡改。但是BlueBox表示已經(jīng)發(fā)現(xiàn)一種方法可以在更改應用程序代碼的同時不會影響加密簽名。并且BlueBox提出警告，這項技術(shù)可以被用來在Android設備上安裝木馬，閱讀設備上的任何數(shù)據(jù)、竊取密碼、復制電話號碼、拍照并執(zhí)行其他功能。

根據(jù)賽門鐵克報告，黑客已經(jīng)利用這個漏洞安裝Android.Skullkey惡意軟件。該惡意軟件能夠從被感染手機讀取數(shù)據(jù)并獲取該手機收發(fā)的短信，甚至能夠?qū)⒈桓腥臼謾C變成惡意攻擊者的短信服務付費方。

報告顯示已監(jiān)控到中國市場兩款應用程序已被掛馬，并在報告里提醒該公司預計攻擊者將會繼續(xù)利用這個漏洞來感染毫無戒備的Android設備用戶。

專家建議用戶僅從信譽良好的Android應用程序市場下載應用程序。并補充道，已被感染的用戶可以進入設置菜單手動刪除相關(guān)軟件。

一位電信顧問表示這個消息凸顯了谷歌Android發(fā)布更新所面對的困局。CCS Insight研究主管本-伍德(Ben Wood)則表示，每當谷歌發(fā)布更新時，設備制造商需要驗證更新，同時，網(wǎng)絡運營商也需要檢測代碼。這便是Android設備從軟件到硬件以及網(wǎng)絡服務整個過程需要多家運營商所帶來的后果，每一家都只關(guān)注自己用戶界面的運行情況。相比之下，蘋果公司則是直接面向消費者推出更新，節(jié)省很多環(huán)節(jié)。