全国移动App第三季度安全研究报告

2021年10月,北京智游网安科技有限公司(爱加密)联合移动互联网系统与应用安全国家工程实验室(以下简称:国家工程实验室)发布了《全国移动App风险监测评估报告》(2021年3季度版)。

本次评估报告包括全国移动App安全概况、全国App功能分布、金融类App分布概况、本季度增量情况、移动App个人信息安全概况、第三季度移动App安全风险监测评估等内容。App风险监测评估报告面向社会公众免费发布,为行业用户了解App安全提供了参考,也为个人用户开启了一扇了解当下App安全热点的窗户。

爱加密和国家工程实验室后续会加大合作力度,把“全国移动App风险监测评估”作为常态化合作内容,风险监测评估报告每季度发布。

一、全国移动App概况

根据移动互联网系统与应用安全国家工程实验室(以下简称国家工程实验室)和爱加密移动应用大数据平台提供的数据,截止9月底大数据平台共计收录Android移动App 347万款,其中70%以上存在高危漏洞威胁;34.17%的App嵌入工具类的SDK。

(一)应用宝移动App数量占总量的21.40%

截止到本季度纳入监测的应用渠道数量总计约900个,其中应用数量排名前三列的分别是:应用宝,共计应用714757款,占渠道总应用数量的20.57%;360市场,共计618611款,占总应用数量的17.80%;豌豆荚,共计533215款,占总应用数量的15.34%。以下是各渠道应用排行前十的情况:

各渠道应用排行TOP10

(二)高危漏洞呈逐渐增长趋势

本次主要对10类94项风险漏洞进行监测分析,发现70%以上的App存在漏洞风险。约248万款Android最新版本应用包通过移动应用安全平台进行风险监测,其中,有高危漏洞的App约183万款,占监测应用总数的73.78%。截止到本季度排名前三的漏洞分别是:Janus漏洞、截屏攻击风险、Java代码加壳检测。详见下图:

存在漏洞的App数量统计图

(三)第三方SDK应用广泛,数据安全存在隐患

第三方SDK通常是造成用户个人信息在网上“裸奔”的罪魁祸首。监测发现截止9月底,共计1774934款App嵌入工具类的SDK,占比34.17%;494746款App嵌入推送类的SDK,占比9.52%;447107款App嵌入框架类的SDK,占比8.61%,详见下图:

不同类型SDK对应的App分布情况

(四)各省份移动App加固情况

从加固App区域分布来看,北京、广东发达地区App加固量排名靠前,加固占比最多。

加固App省份Top10

经统计,安全加固排名前三列的分别是:北京市占总量的25.12%,共计应用79448款;广东省市占总量的24.90%,共计应用78778款;湖北省占总量的7.43%,共计应用23506款,以下是前十占比情况:

加固App数量省份占比前十分布

北京以25.12%的市场份额成为汇聚加固App数量最多的省份,而西藏、澳门等省份加固App数量较少。详情如下:

加固App数量较少的省份分布情况

 

二、全国App功能分布

(一)游戏App稳居市场总应用的首位

从全国移动App功能应用细分领域来看,游戏类App的数量占据首位,占市场应用的43.9%,约98万款;生活实用类的App占市场应用的12.0%,约27万款;系统工具类的App占市场应用的7.0%,约16万款。不同细分领域App占比如下所示:

不同细分领域AppTop10数量及占比

(二)其他功能App分布情况

排名第4到第10的行业分别是办公学习、资讯阅读、金融理财、拍摄美化,总和未超过50%。其中:办公学习类App约14万款,占比6.4%;资讯阅读类App约13万款,占比5.6%;金融理财类App约9万款,占比4.2%。详情见下图:

其他功能Apps数量分布

 

三、金融类App分布概况

(一) 超三成App分布在华东地区

金融类App遍布全国各地,有94724款可以根据区域划分规则明确归属地,以下区域分布仅基于这94724款做分析。从大区来看,华东地区App数量位居第一,占App总量的36.02%;其次是华南地区,占总量的26.21%;华北地区位列第三,占总量的16.74%。详见下图:

App大区分布图

(二) 广东省金融类App数量居全国第一

从省级区域来看,广东省金融类App数量占全国总量的24.45%,位居第一;北京市金融类App数量占全国总量的14.15%,位居第二;上海市占全国总量的10.52%,稳居第三。以下是排名TOP10的情况:

应用数量占比TOP10

 

四、本季度增量情况

(一) Android应用数量8月份环比倍数增长

本季度新增Android应用数量共计89436款,从月度上看,本季度Android应用数量增速8月份环比增长最快,环比增加25.85%,但7月新增应用共计23548款,环比下降27.57%。详见图8:

月度环比增速图

1.本季度教育类App增量最多

从应用行业上看,教育类仍是新增移动App的主要类别,占新增应用34.4%;金融类新增数量位列第二,占新增应用31.2%;政企类新增数量位列第三,占新增应用的18.6%;详见下图:

新增移动App行业Top10分布图

(二) 应用监测渠道增量情况

1.应用监测渠道7月增长较快

本季度应用监测新增渠道趋势较为平缓,新增应用渠道共计44个,7月份新增28个渠道,8月份新增8个渠道。详见下图:

新增渠道情况

2.新增渠道中,服务器在广东、湖北、上海的最多

从新增渠道分布区域上看,服务器在香港的渠道增量最多,占新增渠道13.64%。详见下图:

新增渠道所属区域

 

五、移动App个人信息安全概况

(一)个人信息检测违规分布情况

第三季度,针对全国移动App进行了个人信息合规性抽样检测,其中,56.87%的应用存在“违规收集个人信息”的违规情况;55.60%的应用存在“超范围收集个人信息”的违规情况;19.16%的应用存在“App强制、频繁、过度索取权限”的违规情况。综合上述,建议监管机构督促企业加强个人信息相关的法律法规宣传,加强对App的开发企业、运营企业的通报处罚力度。作为责任主体,相关企业应做到遵纪守法,按照相关政策标准的要求自查自纠;用户应提高隐私保护意识,提防“流氓”App,注重个人的隐私。个人信息违规类型详见下图:

个人信息违规类型分布

(二)个人信息检测违规移动App功能类型分布

从功能类型分类来看,存在个人信息违规性问题的应用办公学习类占违规总量的21.98%,位居第一;其次是生活实用类占违规总量的20.39%,位居第二;网上购物类占违规总量的8.90%,位居第三。办公学习类的App受众面广,且应用数量较多。详见下图:

个人信息检测违规App功能类型分布

(三)移动App个人信息安全案例分析

1.越权设置密码

(1)将client_id替换为注册的另一个账号的client_id(此参数可通过遍历获取所有用户的id)

(2)退出当前账号,登录刚才越权修改client_id对应的另一个账号,可以看到昵称已经被成功越权修改为具有一定诱导性的内容。

同时,昵称长度限制为客户端本地验证,可通过抓包修改绕过此限制:

结果分析:该APP仅通过参数client_id来进行身份识别,因此通过遍历,修改此client_id参数,即可越权修改对应的用户的相关信息。

2.数据明文传输

对App请求与相应数据包进行抓取分析后发现,某App交互数据包均未进行加密处理,且返回数据内可见明文电话号码、token等信息。

结果分析:App应对涉及个人敏感信息、重要数据等的数据包加密处理,并对关键加密算法所在的so库进行加壳、混淆等防护,保护App数据传输及加解密机制安全。

 

六、第三季度移动App安全风险监测评估

(一)“人脸识别”是一种趋势,亦是一种潜在风险

随着科技的发展,App的功能也越发强大,开发者在开发App 时,希望应用能够快速的打开并且运行。从一开始的输入密码解锁到指纹解锁,再到最后的人脸识别解锁功能;App功能在强大的同时,伴随的风险也在加深。“人脸识别”是技术通过相机功能针对用户采集并且收集人脸,储存在后端。而这也给了许多不法分子可乘之机,他们利用人脸识别技术漏洞谋利:通过人脸在线刷脸技巧,骗过部分手机App的活体认证环节,实名认证后窃取用户的个人信息并进行贩卖、网贷等不法手段。

App被授予人脸识别技术,也不乏有恶意App收集相关人脸信息,进行灰色产业的交易,而我们在使用此技术带来的便利同时,也要保持谨慎的心态,使用从官网、认证并且知名的渠道下载的应用。

(二)网络安全离不开安全技术和产业的支撑

没有网络安全就没有国家安全,就没有经济社会稳定运行,广大人民群众利益也难以得到保障。当前,各种形式的网络攻击、黑客入侵、恶意代码、安全漏洞层出不穷,对关键信息基础设施安全、数据安全、个人信息安全构成严重威胁。网络安全的本质是技术对抗,保障网络安全离不开网络安全技术和产业的有力支撑。

移动互联网系统与应用安全国家工程实验室

北京智游网安科技有限公司

2021年10月23日

转载自安全客:https://www.anquanke.com/post/id/257186

上一篇:美国政府要求谷歌跟踪搜索某些关键词的人

下一篇:Windows恶意软件BazarLoader分析