拉斯维加斯——一位研究人员在黑帽安全会议上表示，在合法的Android移动应用程序中注入恶意代码，可以轻而易举地将智能手机变成间谍手机，这可能会给支持BYOD程序的企业带来问题。
爬很低的学习曲线,研究人员Kindsight(阿尔卡特-朗讯的一部分),没有经验的Android软件开发商的工具包能够攒出一个定制版本的运行在Android手机游戏《愤怒的小鸟》,凯文·麦克纳米说,Kindsight安全架构主管。
更多的黑帽子:前20名黑客攻击工具
ANDROID的困境:修复了Android 'master key'漏洞
他说，修改后的应用程序可以访问设备的GPS、麦克风、摄像头、Wi-Fi收音机、电子邮件、短信和联系人列表。攻击者可以在用户不知情的情况下，记录手机附近的对话、通话和拍照，并将其发送到命令和控制服务器。
如果这种经过修改的应用程序被加载到连接到企业网络的设备上，它将成为一个可以扫描网络并发动攻击的间谍节点。他说，恶意代码可以在安装到手机上后进行更新，对其进行定制，以攻击它在网络中发现的特定漏洞。
麦克纳米说:“这是手机里的一个远程访问木马，我认为它相当可怕。”允许这种情况发生的错误与Android主键缺陷有关单独的黑帽简报会．
麦克纳米表示，这款名为DroidWhisper的代码被植入了《愤怒的小鸟》的合法版本中，利用了Android系统在检查应用程序签名证书方面不太严格的特点。
他说，首先将应用程序安装在手机上是一个挑战，但巧妙的鱼叉式网络钓鱼(spear phishing)可能会解决这个问题。在《愤怒的小鸟》应用程序的例子中，一封宣传免费游戏版本的电子邮件，加上一个可下载该游戏的网站链接，可能会吸引目标用户。
应用程序的恶意部分在后台运行，当设备重新启动时启动，所以它总是可用的，即使应用程序本身被关闭。然后用数字证书对它进行签名，但它可以是自签名的。“任何证书都可以，”他说。
DroidWhisper使用标准的Android api来访问设备上的服务。原始的合法应用程序使用Android应用程序包工具分解成各个组件。麦克纳米表示，然后重新构建应用程序，添加了DroidWhisper。
他说，对抗这样的间谍应用程序可以通过反病毒软件寻求与指挥和控制服务器的通信来完成。
他说，修改后的合法应用程序必须从手机应用商店下载，因为它不能发布到真正的合法应用程序所在的谷歌Play上。
蒂姆·格林为网络世界撰写了微软和统一通信有个足球雷竞技app主要是微软的博客．达到他tgreene@nww.com并在Twitter上关注他@Tim_Greene．