Aggregator

声明：以下内容均来自RC²反窃密实验室联合承办的正式赛事活动，活动均已向监管单位报备，一切均在合法、合规、可控下开展，仅供交流与参考。

01 电磁信息安全联合实验室

RC²与深圳信通院成立的「电磁信息安全联合实验室」，隶属于深圳信通院电磁空间安全研究中心，是目前国内最大的集电磁安全技术研究、模拟场景测试、设备专业检测、TSCM专业培训于一体的TSCM领域安全技术研究实验室。

实验室占地700平米，内设4个符合国际TSCM标准的专业模拟测试间、1个专业信号屏蔽室、2个设备操作间和2个专业教室等。

感谢中国信息通信研究院南方分院（深圳信通院）对RC²的认可与信任，本次BUGPWN赛事，得以再次在「电磁空间安全研究中心」成功举办~

★专业词解读：TSCM

Technical Surveillance CounterMeasures，即技术反窃密，是一套基于技术防护理念的商业秘密保护体系，包括通过专业检测技术侦测窃密器材和潜在风险，配合行业技术威胁情报，识别可能存在技术渗透的安全弱点等。

其中，BUGSWEEP反窃密检测服务，将对机构的技术安全状况进行专业评估，通常包括对目标机构及其周边开展彻底的信号频谱、电器线路和物理检查。（以上解释来自RC²反窃密实验室）

02 第2届BUGPWN比赛介绍

下面回顾第2届BUGPWN赛事的相关信息：

首先，BUGPWN的命名来源：

杨叔当初设定这个名字主要是受到了GEEKPWN大赛的启发，所以，也特别感谢GEEKPWN 国际极客安全大赛（现更名为GEEKCON）创始人王琦（大牛蛙）、XCON安全峰会创始人王英健（呆神）、百度CSO陈洋及各位行业专家的大力支持与鼓励。

BUGPWN 赛事的主旨，主要有：

目前，BUGPWN TSCM 黑盒挑战赛的「技术专家评委池」里，已包含英国、意大利、俄罗斯、日本及中国内地与香港等国家与地区的资深从业者。本届赛事的4位专家评委来自日本及中国内地与香港地区，明年预计将有更多海外专家评委加入BUGPWN。

本届赛事组织方：

本届赛事承办方：

比赛地点：

第2届赛事分三个不同难度场景，来考核各参赛队的现场处理能力。

每个场景都将在三个层面进行考核：

• 排查成功率

• 排查专业度

• 环境损坏度

简单解释下：

★ 排查成功率，即在限定时间内对指定场景开展检测，找寻出不同难度系数器材（技术组评判）。

★ 排查专业度，即在比赛期间，考核参赛团队间配合、装备的熟悉度等（专家评委评判）。

★ 环境损坏度，本赛事充分考虑到实际场景，强调对商业环境的保护，没有复原环境或造成直接损坏的都将严重失分。

不过在充分考虑了第1届参赛队伍的参赛建议后，在第2届BUGPWN重新修订了技术分与评委分的占比，以及出题的侧重.....却没想到今年的比赛过程更是跌宕起伏，让人感慨不已~

以下是第2届BUGPWN TSCM 黑盒挑战赛的部分精彩片段。

BUGPWN TSCM 黑盒挑战赛 定位为遵循国际TSCM行业标准，采取定向邀请制的专业TSCM交流赛事，今年还在现场赛事结束后增加了闭门分享环节，主题是「全球窃听器材的技术发展现状」，很遗憾不能公布太多细节。

今年第二届赛事的合作方已增加至30多家，特别感谢青藤云安全、百度安全、安卫普科技、赛安威视、ALUBA、香港侦探总会、安在、ASIS CHINA、HackingGroup、狮子会、骇极、上海中联律所等合作方对本届BUGPWN赛事的赞助与大力支持，感谢大家共同参与推进国内TSCM商业秘密保护行业的发展~

03 我们2025再见

回顾第2届BUGPWN赛事，无论是组委会的国内外专家，还是本次多个受邀参赛队伍，以及为赛事保障的技术组和后勤组的小伙伴们，还有诸多合作方，数周来，大家都在为之努力和付出，在此由衷地向大家表示诚挚的感谢

从比赛难度而言，BUGPWN组委会综合考虑了近些年全球商业窃密真实案例中出现的非法器材，及目前网络/黑市上正在销售的主要器材类型，并预估参赛队伍的水平，依托实验室的模拟训练环境专门设计了不同难度系数的场景。

从参赛团队技术水平来说，大部分参赛团队均来自大型跨国企业内部一线检测队伍，也都参加过RC²不同深度的课程，这可能会在经验和技能上造成一定偏差。

第1与第2届「BUGPWN TSCM 黑盒挑战赛」主要面向国内TSCM专业团队的定向邀请，预计2025年，将邀请更多专业团队甚至海外专家、小组参加，我们衷心地期望BUGPWN能够通过国际赛事交流等方式，促进国内TSCM行业的进步和良性发展！

无论是参加赛事，还是日常从事BUGSWEEP工作，下面这句话来自国外某TSCM行业著作，杨叔也送给参赛的各位同学，共勉：

“Remember, the walls have ears.”

“永远保持警惕，隔墙有耳。”

2025，我们明年再见......

Google于11月20日发布了Android 16的首个开发者预览版，梆梆安全基于移动应用预兼容加固框架技术，率先实现了“零修改”完美兼容适配Android 16首个开发者预览版。

Google从Android 16起，改变了以往每年只发布一个大版本的节奏，以更快的迭代节奏实现新版本推送。

根据谷歌官方发布的时间表，预计Android 16将会在2025年Q2发布正式版本。

·2024年Q4发布Android 16开发者预览版；

·2025年Q1发布Android 16公开测试版；

·2025年Q2发布Android 16稳定版和正式版。

梆梆安全移动应用预兼容加固框架

梆梆安全作为移动应用加固技术领跑者，始终坚持以客户为中心，以技术为导向，基于多年移动应用安全技术的积累，建立了高效的Android系统预兼容、自适应的安全加固框架技术，可以第一时间完成对Android系统新版本的兼容适配支持，做好客户安全服务的基础保障工作。

目前，梆梆安全与Google、OPPO、VIVO、小米、荣耀、三星等手机厂商建立了全面的技术合作伙伴关系，共同开展Android系统、手机硬件、加固技术的多方协同验证，确保应用加固技术的兼容性、稳定性和安全性。

Several vulnerabilities affecting MediaTek processors have been identified, potentially allowing attackers to escalate privileges on affected devices. These vulnerabilities span multiple components, including video decoding, telephony, power management, and modem functionalities, posing significant risks to users worldwide. Overview of Vulnerabilities The vulnerabilities, identified by their Common Vulnerabilities and Exposures (CVEs), highlight issues primarily related to […]

The post MediaTek Processor Vulnerabilities Let Attackers Escalate Privileges appeared first on GBHackers Security | #1 Globally Trusted Cyber Security News Platform.

梆梆安全出品的《2024年Q3移动应用安全风险报告》来了！以梆梆安全移动应用监管平台2024年Q3监测、分析的移动应用安全态势为基础，为大家重点和深度分析国内移动应用攻击技术及安全趋势发展，为移动应用安全建设工作提供有效建议和参考。

01 全国移动应用概况

梆梆安全移动应用监管平台对国内外1000+活跃应用市场实时监测的数据显示，2024年7月1日至2024年9月30日新发布的应用中，归属全国的Android应用总量为203,224款，涉及开发者总量62,156家。

从Q3新发布的APP分布区域来看，广东省APP数量位居第一，约占全国APP总量的20.02%，位居第二、第三的区域分别是北京市和上海市，对应归属的APP数量是34,301、19,843个。具体分布如图1所示：

图1 全国APP区域分布TOP10

从APP的功能和用途类型来看，实用工具类APP数量稳居首位，占全国APP总量的 19.92% ；教育学习类APP位居第二，占全国APP总量的13.78%；商务办公类APP排名第三，占全国 APP总量的9.44%。各类型APP占比情况如图2所示：

图2 全国APP类型分布TOP10

02 全国移动应用安全分析概况

梆梆安全移动应用监管平台通过调用不同类型的自动化检测引擎，对全国Android应用进行抽样检测，风险应用从盗版（仿冒）、境外数据传输、高危漏洞、个人隐私违规4个维度综合统计，风险应用数量如图3所示：

图3 风险应用数量统计

01 漏洞风险分析

从全国Android APP中随机抽取98,945款进行漏洞检测，发现存在漏洞威胁的APP为75,513个，即76.32%以上的APP存在中高危漏洞风险。在75,513款APP漏洞中，高危漏洞占比74.26%，中危漏洞占比96.74%（同一APP可能存在多个等级漏洞）。

对不同类型的漏洞进行统计，大部分漏洞可以通过应用加固方案解决。应用漏洞数量排名前三的类型分别为JAVA代码反编译风险、HTTPS未校验主机名漏洞，及动态注册Receiver风险。

从APP类型来看，实用工具类APP存在的漏洞风险最多，占漏洞APP总量的20.08%；其次为教育学习类APP，占比11.42%；商务办公类APP位居第三，占比9.17%。漏洞数量排名前10的APP类型如图4所示：

图4 存在漏洞的APP类型TOP10

02 盗版（仿冒）风险分析

盗版APP指未经版权所有人同意或授权的情况下，利用非法手段在原APP中加入恶意代码，进行二次发布，造成用户信息泄露、手机感染病毒，或其他安全危害的APP。从全国的Android APP中随机抽取770款进行盗版（仿冒）引擎分析，检测出盗版（仿冒）APP 762个，其中实用工具、新闻阅读、教育学习类APP是山寨APP的重灾区，各类型占比情况如图5所示：

图5 盗版（仿冒）APP类型TOP10

03 境外传输数据分析

2024年3月22日，中央网络安全和信息化委员会办公室正式发布《促进和规范数据跨境流动规定》，同时发布《数据出境安全评估申报指南（第二版）》和《个人信息出境标准合同备案指南（第二版）》以指导企业落实数据出境合规义务，充分体现我国通过加强数据跨境监管，维护国家安全的监管思路。、

从全国的Android APP中随机抽取17,462款Android APP进行境外数据传输引擎分析，发现其中1,549款应用存在往境外的IP传输数据的情况，从统计数据来看，发往澳大利亚的最多，占比53.58%；其次是发往美国，占比35.18%。无论是针对移动应用程序自身程序代码的数据外发行为，还是针对第三方SDK的境外数据外发行为，都建议监管部门加强对数据出境行为的监管。数据传输至境外国家占比排行情况如图6所示：

图6 数据传输至境外国家占比TOP10

从APP类型来看，实用工具类APP往境外IP传输数据的情况最多，占境外传输APP总量的18.66%；其次为其他类APP，占比12.33%；生活服务类APP占境外传输数据APP总量的8.65%，位列第三。各类型占比情况如图7所示：

图7 境外传输数据APP各类型占比TOP10

04 个人隐私违规分析

作为联网才能正常工作的移动应用，采集网络权限、系统权限以及 WiFi 权限是比较正常的，但移动应用是否应该采集用户短信、电话以及位置等“危险权限”，需要根据应用本身的合法业务需求进行分析 。

基于国家《信息安全技术个人信息安全规范》《APP违法违规收集使用个人信息行为认定方法》《常见类型移动互联网应用程序必要个人信息范围规定》等相关要求，从全国Android APP中随机抽取17,462款进行合规引擎分析，检测出66.12%的APP涉及隐私违规现象，如违规收集个人信息、超范围收集个人信息、强制用户使用定向推送功能等。各违规类型占比情况如图8所示：

图8 个人隐私违规类型占比情况

从APP类型来看，实用工具类APP存在个人隐私违规问题最多，占检测总量的18.14%；其他类APP存在的隐私违规问题占检测总量的12.01%，位居第二；教育学习类APP存在的隐私违规问题占检测总量的11.29%，位居第三。涉及个人隐私违规APP各类型占比如图9所示：

图9 个人隐私违规APP类型TOP10

05 第三方SDK风险分析

第三方SDK是由广告平台、数据提供商、社交网络和地图服务提供商等第三方服务公司开发的工具包，APP开发者、运营者出于开发成本、运行效率考量，普遍在APP开发设计过程中使用第三方软件开发包（SDK）简化开发流程。从全国的Android APP中随机抽取88,926款进行第三方SDK引擎分析，检测出95.24%的应用内置了第三方SDK。如果SDK有安全漏洞，可能导致包含该SDK的应用程序受到攻击。

从APP类型来看，实用工具类APP内置第三方SDK的数量最多，占比20.23%；其次为教育学习类APP，占比11.9%；商务办公类APP位列第三，占比9.04%。内置第三方SDK应用各类型APP占比如图10所示：

图10 内置第三方SDK应用各类型APP占比TOP10

06 应用加固现状分析

随着移动APP渗透到人们生活的方方面面，黑灰产业也随之壮大，应用若没有防护，则无异于“裸奔”，对APP进行安全加固可有效防止其被逆向分析、反编译、二次打包、恶意篡改等。从全国的Android APP中随机抽取148,607款进行加固引擎检测，检测出已加固的应用仅占应用总量的38.11%。

从应用类型来看，APP加固率排名前三的分别是政务、金融、新闻类APP。不同APP类型加固占比如图11所示：

图11 不同APP类型加固占比

随着移动互联网的快速发展，以手机等移动智能设备为载体的移动互联网应用程序深入到社会生产生活的方方面面，移动端承载了越来越多企业及用户的生产业务和敏感数据，是整体安全体系建设的重要一环。

而在外网防御越来越完善的今天，攻击者更喜欢在“移动端”上找到突破口，恶意软件猖獗、个人信息违规收集、数据恶意滥用等风险问题层出不穷，网络攻击愈演愈烈，漏洞威胁持续升级，对个人及企业的数据和财产安全构成严重威胁。

在信息技术应用创新发展的大趋势下，梆梆安全始终以客户为中心，以持续的研发投入和产品创新，从技术、服务两个层面建立全面的移动应用安全和物联网安全防护生态体系，构建了应用设计开发、应用测试、应用发布、应用运维在内的 APP 全生命周期安全解决方案，形成从保护、加固、检测到监管、测评、响应的全栈产品和服务能力，深入治理 APP、小程序、快应用等应用程序乱象，已经成为各行业厂商值得信赖的合作伙伴。

数字时代，移动互联网持续渗透，推动数字化、信息化深入社会生活发展的方方面面，移动端渠道的业务重要性与安全性的要求越来越高。在移动应用数量和业务丰富度爆发式增长的当下，梆梆安全勇担“保护您的软件”的企业使命，致力于应用技术百家争鸣，应用体验百花齐放，让互联网用户拥有更美好、更安全、更合规的数智生活。