行业新闻与博客

Google Android 用户上周在其设备上弹出了一系列虚假通知，这使他们倍感困扰。

据 Sophos 的 Naked Security 的 Paul Ducklin 所说  ，一串假冒的弹出窗口首先困扰了 Google Hangouts 应用程序的用户，然后又困扰了 Microsoft Teams 的用户。

Ducklin 在 8月28日发布的博客中写道：“全世界的用户，因此每天的任何时候（许多用户抱怨被不必要地唤醒）都收到了垃圾邮件。”

“要明确，这不是微软在 Android 的 Teams 应用中测试通知。虚假的警报也使软件巨头措手不及。”

从通知的内容来看，这些通知似乎不是恶意的或故意的。不包含任何可疑的链接或号召性用语，消息仅说明标题为“ FCM 消息”，其后为文本“测试通知！！！” 

考虑到发件人的身份及其动机，达克林评论说：“这些消息确实看起来像是一种考验，但是由谁来做的，目的是什么？

“四个感叹号表明某人具有骇客的说服力，也许是某种过分的“概念证明”（PoC），旨在提出观点，是由缺乏社交恩典或不知道何时停止的法律敏感性的人发出的。 ”

Ducklin 建议，大量的虚假通知可能与网络安全研究人员和漏洞赏金猎人称自己为“ Abbs”的最新发现有关。8月17日，Abbs 声称  已在许多 Android 应用程序中识别出一个编码漏洞，从而使某人能够劫持 Firebase Cloud Messaging（FCM）服务，  从而赢得了 3 万美元。

Abbs 在描述该漏洞时表示：“恶意攻击者可以控制向运行 FCM ​​SDK 并公开其 FCM 服务器密钥的任何应用程序的推送通知的内容，同时将这些通知发送给易受攻击的应用程序的每个用户！

“这些通知可能包含攻击者想要的任何内容，包括图形 / 干扰图像（通过'image'：'url-to-image'属性）以及通知中任何贬低或带有政治倾向的消息！”

通知的作者已 被 Google 和 Microsoft 迅速  终止，目前尚未确定。

本文由机器译制