.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
出於安全原因，在線加密貨幣錢包的地址由一長串字符組成。用戶傾向於使用剪貼板複製和粘貼地址，而不是由用戶通過鍵盤輸入錢包地址。一種名為“clipper”的惡意軟件利用了這一點。它攔截剪貼板的內容，並偷偷地用攻擊者想要破壞的內容替換它。在加密貨幣交易的情況下，受影響的用戶最終可能會將復制的錢包地址悄悄地切換到屬於攻擊者的地址。
這種危險形式的惡意軟件於2017 年首次在Windows 平台上傳播，並於2018 年夏季在陰暗的Android 應用商店中被發現。 2019 年2 月，在官方Android 應用商店Google Play 上首次出現了一個惡意竊取剪切板的程序。
安全研究人員發現一類潛伏在Google Play 商店中的Clipper 惡意軟件被殺毒軟件檢測為Android/Clipper.C 惡意程序，該惡意軟件模擬了一個名為MetaMask的合法服務。該惡意軟件的主要目的是竊取受害者的憑證和私鑰，以控制受害者的以太坊資金。但是，它也可以用屬於攻擊者的地址替換複製到剪貼板的比特幣或以太坊錢包地址。
為了減輕此類隱私風險，谷歌近年來對Android 進行了進一步改進，包括在應用程序訪問剪貼板時顯示toast 消息，並禁止應用程序獲取數據，除非它在前台主動運行。
前言安全研究人員發現，中國時尚電子零售商Shein 的Android 應用程序存在缺陷，允許從不知情的用戶那裡獲取剪貼板數據並將其傳輸到遠程服務器，受影響的用戶數量可能達到數百萬，因為Shein 的Android 應用程序在Google Play 商店中的下載量已超過1 億次。 Shein 原名ZZKKO，成立於2008 年，是一家總部位於新加坡的中國在線快時尚零售商。該應用程序目前的版本為9.0.0，在Google Play 商店中的下載量已達到上億次。該公司2021 年收入超過150 億美元，預計2022 年將超過200 億美元。
Microsoft 365 Defender 研究團隊表示，他們在2021 年12 月16 日發布的應用程序7.9.2 版本中發現了該問題。該問題已於2022 年5 月得到解決。
雖然微軟研究人員並未發現應用程序開發人員有任何惡意，但他們認為收集剪貼板數據對用戶正確使用該應用程序來說是不必要的。
Android 剪貼板的安全風險Android剪貼板最有趣的特點是它的全局可訪問性，也就是說，放在剪貼板上的所有內容都是公共的，設備上所有正在運行的應用程序都可以訪問，無需任何權限要求或用戶交互。 Android甚至允許應用程序通過向系統註冊一個回調監聽器來監控剪貼板上的數據更改。在桌面環境中，這不是一個嚴重的安全問題，因為它的剪貼板是用戶驅動的，一個窗口應該只在響應用戶[1]的命令時將數據傳輸到剪貼板或從剪貼板傳輸數據。
相比之下，Android將每個應用程序視為擁有不同特權的不同用戶。由於全局無保護訪問，各種用戶，即應用程序，都可以在Android剪貼板上任意操作，不受任何限制。更糟糕的是，移動設備的屏幕尺寸有限。首先，用戶更有可能在移動設備上複製和粘貼數據，以節省打字工作量。此外，在將內容從剪貼板粘貼到應用程序後，用戶可以看到的字符更少，從而減輕了攻擊者隱藏攻擊的工作量。攻擊者針對Android剪貼板的另一個優勢是在普通應用程序開發中缺乏安全考慮。
考慮到移動用戶經常使用剪貼板複製和粘貼敏感信息，如密碼或支付信息，剪貼板內容可能成為網絡攻擊的誘人目標。利用剪貼板可以使攻擊者收集目標信息並洩露有用數據。甚至存在攻擊者出於惡意目的劫持和替換剪貼板內容的示例，例如在用戶將復制的加密貨幣錢包地址粘貼到加密錢包應用程序或聊天消息之前修改它。此外，這些類型的攻擊濫用合法的系統功能而不是利用漏洞，使得問題更難以緩解。
微軟的安全團隊發現舊版本的SHEIN Android 應用程序會定期讀取Android 設備剪貼板的內容，如果存在特定模式，則會將剪貼板的內容髮送到遠程服務器。雖然我們並未具體了解該行為背後的任何惡意意圖，但我們評估認為該行為對於用戶在應用程序上執行任務而言並非必需。
SHEIN 的Android 應用程序在Google Play 商店發布，下載量超過1 億次。即使SHEIN 的剪貼板行為不涉及惡意，這個案例也凸顯了安裝的應用程序可能帶來的風險，包括那些非常受歡迎並從平台的官方應用程序商店獲得的應用程序。我們向Play 商店的運營商Google 公司報告了我們的發現，推動他們的Android 安全團隊展開調查。 2022 年5 月，谷歌通知我們，我們確認SHEIN 從應用程序中刪除了該行為。我們要感謝Google 的Android 安全團隊以及SHEIN 團隊為解決此問題所做的努力和協作。
在此博文中，我們詳細介紹了我們如何識別SHEIN 應用程序的剪貼板行為，以及Android 用戶如何保護自己免受基於剪貼板的攻擊。我們還與更大的安全社區分享這項研究，以強調協作在提高所有人安全性方面的重要性。
靜態和動態分析以下分析詳細說明了我們如何識別和驗證SHEIN 應用程序剪貼板行為的存在，我們分析的SHEIN 應用程序的版本是7.9.2 (SHA-256: ff07dc6e237acd19cb33e35c60cb2ae52c460aac76bc27116d8de76abec66c51 )。我們首先對應用程序進行了靜態分析，以確定對行為負責的相關代碼。然後，我們通過在檢測環境中運行該應用程序來執行動態分析以觀察代碼，包括它如何讀取剪貼板並將其內容髮送到遠程服務器。
圖1. 通過SHEIN 應用程序導致剪貼板訪問的調用鏈示例
識別代碼打開應用程序後，啟動器活動com.shein.user_service.welcome.WelcomeActivity擴展了com.zzkko.base.ui.BaseActivity類，該類在onResume回調中執行對iBaseActivityCallBack.h方法的調用，如下面第11 行所示:
圖2. com.zzkko.base.ui.BaseActivity 類在onResume 回調中執行對iBaseActivityCallBack.h方法的調用
com.zzkko.app.iBaseActivityCallBack是由com.zzkko.app.BaseActivityCallBack 實現的接口。上一次調用的方法h ，部分描述如下，在同一類中執行對方法o 的調用，如第16 行所示：
圖3. 方法h執行對同一類中方法o的調用
最後，在com.zzkko.app.BaseActivityCallBack.o方法中調用了com.zzkko.util.MarketClipboardPhaseLinker.f方法，如第2 行所示：
圖4. com.zzkko.app.BaseActivityCallBack.o方法調用com.zzkko.util.MarketClipboardPhaseLinker.f方法
方法com.zzkko.app.BaseActivityCallBack.f 的實現邏輯如下圖所示，檢查字符序列“$”和“://”是否存在於剪貼板文本中，如第6 行所示。如果兩者都存在，則調用同一類中的方法k，並將剪貼板文本作為參數提供，如第8行所示:
圖5. com.zzkko.app.BaseActivityCallBack.f方法檢查剪貼板中的“$”和“://”，將剪貼板文本作為參數提供給方法k
方法com.zzkko.app.BaseActivityCallBack.k啟動一個請求流，該請求流在BaseUrlConstant.APP_URL + “ /marketing/tinyurl/phrase ”處向服務器執行POST 請求，解析為https://api-service[.]shein[ .]com/marketing/tinyurl/phrase：
圖6. 方法com.zzkko.app.BaseActivityCallBack.k啟動一個請求流，它向位於BaseUrlConstant.APP_URL + “ /marketing/tinyurl/phrase ”的服務器執行POST 請求
由於應用程序的所有活動（用戶界面）都擴展了com.zzkko.base.ui.BaseActivity，因此只要用戶啟動新活動，例如通過啟動或恢復應用程序或在其中執行某些操作，就會觸發上述調用鏈應用程序。
驗證代碼的剪貼板行為為了驗證我們的靜態分析結果，我們對該應用程序進行了動態分析，該應用程序是我們從Google Play 商店安裝到運行Android 9 的三星設備上的。
我們使用Frida攔截對android.content.ClipboardManager.getText和com.zzkko.util.MarketClipboardPhaseLinker.f方法的調用，以分析應用程序的剪貼板行為。我們還使用Frida 繞過應用程序的內置證書，使我們能夠使用Burp Proxy分析網絡流量。
我們將設備剪貼板的內容設置為https://mybank[.]com/token=secretTokentransaction=100$並打開應用程序。
打開應用程序後，記錄了以下調用：
圖7. 顯示應用剪貼板過濾的通話記錄
在上面的圖7 中，我們觀察到以下內容：
第28 行：調用函數com.zzkko.util.MarketClipboardPhaseLinker.f
第29-49 行：堆棧跟踪函數com.zzkko.util.MarketClipboardPhaseLinker.F
第53、55 行：調用ClipboardManager的hasPrimaryClip和getPrimaryClip方法
最後，執行對api-service[.]shein[.]com 的POST 請求。隨後，我們在Burp Proxy 中捕獲了以下請求，顯示了剪貼板內容到遠程服務器的傳輸：
圖8. 將剪貼板內容傳輸到遠程服務器
安卓剪貼板保護如涉及SHEIN 的此案例所示，Android 應用程序可以調用android.text.ClipboardManager API 來讀取或寫入設備剪貼板，而無需請求用戶批准或需要任何特定的Android 權限。雖然調用ClipboardManager API 可以讓應用程序簡化用戶的流程，例如快速選擇要復制的文本，但應用程序通常不需要這樣做，因為複制和粘貼通常由設備輸入法編輯器（鍵盤）執行，它是一個單獨的應用程序。
為了解決我們的研究發現和手頭更廣泛的問題，谷歌已經認識到與剪貼板訪問相關的風險，並對Android平台進行了以下改進以保護用戶：
在Android 10 及更高版本上，應用程序無法訪問剪貼板，除非它當前具有焦點（正在設備顯示屏上主動運行）或被設置為默認輸入法編輯器（鍵盤）。此限制可防止後台應用程序訪問剪貼板，但不會阻止此處描述的行為，因為SHEIN 應用程序在前台運行。
在Android 12 及更高版本上，當應用程序首次調用ClipboardManager 以從另一個應用程序訪問剪貼板數據時，會顯示一條toast 消息通知用戶。
圖9. 訪問設備剪貼板時屏幕底部顯示的Toast 消息示例
Android 13會在一段時間後清除剪貼板的內容，以提供額外程度的保護。
用戶可以通過注意剪貼板訪問消息來保護自己。如果消息意外顯示，他們應該假設剪貼板上的任何數據都可能受到損害，並且他們應該考慮刪除任何進行可疑剪貼板訪問的應用程序。
負責任的披露和行業合作提高了所有人的安全雖然我們不知道SHEIN 是否有任何惡意，但即使是應用程序中看似良性的行為也可能被惡意利用。針對剪貼板的威脅可能會使任何復制和粘貼的信息面臨被攻擊者竊取或修改的風險，例如密碼、財務詳細信息、個人數據、加密貨幣錢包地址和其他敏感信息。
我們建議用戶進一步遵循以下安全準則來防範此類風險和類似風險：
始終保持設備和已安裝的應用程序是更新後的最新狀態
切勿安裝來自不受信任來源的應用程序
考慮刪除具有意外行為的應用程序，例如剪貼板訪問toast 通知，並將該行為報告給供應商或應用程序商店運營商
在發現SHEIN Android 應用程序剪貼板行為後，我們與Google 的Android 安全團隊合作，確保從應用程序中刪除此行為。我們感謝Google 和SHEIN 團隊為解決該問題所做的努力和協作。