昨天，国外媒体曝光了一个存在于安卓手机内的系统高危漏洞：通过访问恶意网站，安卓手机内的用户数据可能被故意全部清空。仅仅过了不到18小时，国内最大安全厂商360旗下360手机卫士，就已迅速分析、验证了该漏洞，并紧急推出最新升级版，为安卓手机用户迅速封堵住这个可利用“Tel指令”作恶的安全漏洞。
据360安全专家验证：当用户不小心进入到嵌入有恶意代码的网站时，在其毫不知情的情况下，手机就会被直接擦除所有数据，恢复到出厂状态。目前360手机卫士最新升级版已经封堵住该漏洞，不会受到该漏洞的危害。而使用360手机卫士自带的“安全通讯录”替代系统提供的拨号程序，也可以规避此安全风险。
“安卓系统浏览器可以通过访问一个网址的方式来调用“tel指令”，而且过程中完全不需用户确认，如果有人恶意制作网址链接诱导用户点击，就会导致用户所有数据被删除。”360安全专家表示，“这也不排除，有不良开发者通过恶意插件，在用户不知情的情况下自动访问恶意网站链接，偷偷删除手机中的数据！”
360安全专家验证：存在“tel指令”漏洞的手机正被擦除全部数据
据360安全专家介绍，所谓“tel指令”，其实很常见。如在安卓手机原生拨号界面输入 “*#06#”就可以查看IMEI；但另外一些比较“冷门”的“tel指令”，除了专业人士和部分手机发烧友外，一般手机用户可能就都不太了解了。如在拨号界面输入字符“*2767*3855#”，其实可以将手机恢复成出厂设置，即清空所有数据，包括通讯录、已安装软件等。（如未事先备份过重要数据，请勿尝试恢复出厂设置，这将导致您的个人数据损失。）
据悉，该漏洞被证实已经影响到三星、HTC、摩托罗拉等多个品牌的大量安卓智能手机。截至目前，除三星公司表示将尽快更新固件解决此漏洞外，其他手机厂商尚未回应。360安全专家建议用户尽快将360手机卫士升级到最新版，以防范手机重要数据被远程擦除的风险。
360手机卫士的最新版，具备高效智能的主动防御（需ROOT权限）功能：一旦发现利用此漏洞的的恶意行为时，360手机卫士会提醒用户“注意！为您拦截到可疑的危险操作，该操作将会清空联系人、删除全部已安装软件。该操作利用了系统电话程序的指令漏洞，360手机卫士可以时刻保护你远离漏洞威胁。”此外，如果用户安装了360手机卫士里自带的360安全通讯录，因为没有使用安卓原生的拨号软件，自然也可以规避此安全风险。
安卓手机曝高危漏洞 手机毒霸首推修复补丁
2012-11-07
当你收到女朋友的短信，要你往她支付宝里充500元，虽然短信的确来自她的号码，这却可能是一个骗局。这个耸人听闻的故事就是近日被披露的安卓“短信诈骗漏洞”，谷歌官方已证实所有版本的安卓系统均存在这一漏洞。手机毒霸全国首家推出漏洞修复补丁，力保用户安全。
手机毒霸安全中心表示，利用该漏洞不法分子可以伪造来自任意号码短信，比如机主的亲朋好友，甚至银行、政府等机构，甚至很多资深手机用户都无法分辨短信真假。目前，相关恶意代码和程序已经在互联网上出现。
图1 攻击者可以利用“短信诈骗漏洞”伪造出“假的真短信”
谷歌官方表示“将在未来的Android系统升级中修复这一漏洞”。业内人士指出，安卓手机升级迟缓滞后一直饱受诟病，部分厂商还限制了系统升级，结果就导致大量安卓用户几乎无法自行升级，漏洞的威胁将长期存在。
更令人担忧的是，利用了“短信诈骗漏洞”的恶意程序，即使在手机未联网状态下依然可以发送欺骗性短信，并且不要求获取任何系统权限。所以常规手机安全软件使用的“禁止联网”、“权限控制”等手段，根本无法解决漏洞的危害。
手机毒霸今日全国首发修复“短信诈骗漏洞”的第三方补丁(编号：KM12002)，这是继10月份爆发的安卓“远程擦除漏洞”之后，手机毒霸第二次为安卓系统发布第三方补丁。
通过手机毒霸安装补丁后，已经root的安卓手机可直接实现对短信诈骗漏洞伪造消息的拦截。在未root的安卓手机上，手机毒霸则会对利用短信诈骗漏洞的应用程序进行提示，警告用户存在风险，引导用户卸载。
图2 手机毒霸拦截短信诈骗漏洞的监控日志
已安装手机毒霸的用户在主程序界面点菜单键，选择“联网更新”，即可下载KM12002补丁并获得对“短信诈骗漏洞”的防御能力，新用户可从官网(http://m.)下载最新版手机毒霸。
不用密码登陆QQ 手机QQ重大漏洞
