谷歌BugSWAT | 无恒实验室针对安卓应用的供应链攻击研究

BugSWAT 2023会议在东京举行，讨论安全技术和洞见。

无恒实验室的胡天易研究员分享了关于Android应用的供应链攻击的议题。

攻击者可以通过同名组件污染Android供应链，影响应用安全。

Android应用依赖管理主要使用Gradle和Maven，开发人员引用多个Maven源。

Gradle默认按照引用顺序查找组件，可能导致供应链攻击。

攻击者需注册域名并上传恶意组件到Maven Central以实施攻击。

过期域名可能导致原本安全的源重新存在风险。

安全人员应检查私有Maven源的使用顺序，确保内部源优先。

无恒实验室致力于移动安全和隐私安全，分享研究成果以协助企业避免安全风险。