《堡垒之夜》Android安装包被Google揭露重大漏洞 恐导致黑客植入恶意程式

根据外国媒体报道，日前 Epic Games 旗下游戏《堡垒之夜》Android 版本宣布跳过 Google Play，直接於官方网站提供 APK安装包让玩家下载，同时也引发相关人士对於游戏安全方面的疑虑。


而 Google 近日揭露《堡垒之夜》Android安装程序中的重大漏洞，该 BUG 开放了所有 App 的安装权限，这将让某些程序在用户不知情的情况下于后台隐秘运行。Google 安全小组日前向 Epic Games 公开该漏洞，而 Epic Games 在确认漏洞修补完成後也公开了这些资讯。

当玩家欲下载《堡垒之夜》Android 版本时，会先安装《堡垒之夜》Installer，玩家在下载及安装完成後，就可以直接从 Epic Games 下载游戏。然而《堡垒之夜》Installer 却很容易被用来骇入并劫持玩家下载游戏的同意权限，被黑客利用称作「man-in-the-disk」的方式发动攻击，玩家也会因此不知情的下载了恶意软体。


其中又以 Samsung 装置的玩家灾情较为严重一些，由於 Galaxy Apps 被视为可信任的来源，因此玩家不需要将设定中的「安装来自未知来源的应用程式」的选项开启，装置就能自行完成下载及安装程序，让黑客可以悄然无声的植入恶意 App。


而 Epic Games 在得知之後也迅速采取行动，据 Epic Games 对 Android Central 的说法指出，《堡垒之夜》Android 版本的漏洞在发布的 48 小时内已经修复，并推出了更新版本的《堡垒之夜》Installer 来避免用户遭到黑客攻击。

Google 的发言人於 Android Central 表示，维系用户的安全是 Google 的首要任务，在发现《堡垒之夜》Installer 程序中有重大 BUG 时，Google 立刻就通知了 Epic Game，而 Epic Game 也解决了这个漏洞。


然而，这样的行为却也引来 Epic Games 的不满。外媒指出，Epic Games CEO 暨创始人 Tim Sweeney 表示，非常感谢 Google 在《堡垒之夜》Android 版本发布後的深入安全检测，并与 Epic Games 分享了结果，让他们得以迅速地发布更新版本。然而 Google Play 这样揭露该漏洞的技术细节相当的不负责任，在许多装置尚未更新版本的情况下，仍容易遭到攻击。

Sweeney 表示，一位 Epic Games 的工程师曾在其催促下向 Google 要求延後披露这样的资讯，以利於有时间让更多的用户安装更新档，不过 Google 基於其行动方针及政策规定的关系拒绝了这样的请求。

via：GNN