《要塞英雄》Android 安裝程式遭 Google 指出其重大漏洞 恐導致駭客植入惡意程式

　　根據外電指出，日前 Epic Games 旗下遊戲《要塞英雄》Android 版本宣布跳過 Google Play，直接於官方網站提供 APK 檔案讓玩家下載，同時也引發相關人士對於遊戲資安方面的疑慮。

 

• 照片來源：Epic Games

　　而 Google 近日揭露《要塞英雄》Android 版本程式中的重大漏洞，該 BUG 開放了所有 App 的安裝權限，這將讓用戶在不知情的情況下被安裝軟體在用戶的後台中。Google 的安全小組在日前向 Epic Games 公開了這樣的漏洞，而 Epic Games 在確認漏洞修補完成後也公開了這些資訊。

 

　　當玩家欲下載《要塞英雄》Android 版本時，會先安裝《要塞英雄》Installer，玩家在下載及安裝完成後，就可以直接從 Epic Games 下載遊戲。然而《要塞英雄》Installer 卻很容易被用來駭入並劫持玩家下載遊戲的同意權限，被駭客利用稱作「man-in-the-disk」的方式發動攻擊，玩家也會因此不知情的下載了惡意軟體。

• 《要塞英雄》Installer

　　其中又以 Samsung 裝置的玩家災情較為嚴重一些，由於 Galaxy Apps 被視為可信任的來源，因此玩家不需要將設定中的「安裝來自未知來源的應用程式」的選項開啟，裝置就能自行完成下載及安裝程序，讓駭客可以悄然無聲的植入惡意 App。

 

• 照片來源：Epic Games

　　而 Epic Games 在得知之後也迅速採取行動，據 Epic Games 對 Android Central 的說法指出，《要塞英雄》Android 版本的漏洞在發布的 48 小時內已經修復，並推出了更新版本的《要塞英雄》Installer 來避免用戶遭到駭客攻擊。

 

　　Google 的發言人於 Android Central 表示，維繫用戶的安全是 Google 的首要任務，在發現《要塞英雄》Installer 程序中有重大 BUG 時，Google 立刻就通知了 Epic Game，而 Epic Game 也解決了這個漏洞。

 

• Epic Games CEO 暨創始人 Tim Sweeney ，照片來源

　　然而，這樣的行為卻也引來 Epic Games 的不滿。外媒指出，Epic Games CEO 暨創始人 Tim Sweeney 表示，非常感謝 Google 在《要塞英雄》Android 版本發布後的深入安全檢測，並與 Epic Games 分享了結果，讓他們得以迅速地發布更新版本。然而 Google Play 這樣揭露該漏洞的技術細節相當的不負責任，在許多裝置尚未更新版本的情況下，仍容易遭到攻擊。

 

　　Sweeney 表示，一位 Epic Games 的資安工程師曾在其催促下向 Google 要求延後披露這樣的資訊，以利於有時間讓更多的用戶安裝更新檔，不過 Google 基於其行動方針及政策規定的關係拒絕了這樣的請求。