在某个木马程序成功通过防护测试后,Symbian基金会承认,用来防止恶意软件入侵Symbian移动操作系统的程序需要改进。
Symbian首席安全技术员Craig Heath上周四表示,以构建僵尸网络为目的的木马程序"Sexy Space",通过了该组织的数字签名验证程序。Heath说基金会正在改善其安全审核程序。
他表示:“对于提交的软件,我们确实会过滤掉不好的部分。提交给我们的应用程序,都会经过(安全)扫瞄。我们正在研究如何改善扫瞄程序。”
开发者为Symbian操作系统设计的移动应用程序,都必须通过Symbian基金会的审核。提交的软件获通过后,会加入 Symbian的数字签名。这个数位签名是加密的安全防卫功能,等於向使用者担保该软体是出自可信任的来源。
Symbian签名程序的第一个阶段,杀毒扫瞄,是采用一个杀毒引擎自动执行。当应用程序完成提交和扫瞄之后,会随机挑出一部份,供人力审核。低风险的Sexy Space木马程序,是伪装成一个合法的应用程序ACSServer.exe。Heath表示,该程序尚未送交人力审核。
Heath表示,Symbian基金会在两周前发现Sexy Space是一个木马程序,便立即撤销其签名。然而,Symbian服务器的一项错误,却让该程序直到上周还开放下载。
根据Symbian Signed网站的资料,该组织的杀毒扫瞄供应商是芬兰公司F-Secure。该公司首席安全官Mikko Hyppnen表示,这个恶意程序的作者可能特别针对F-Secure的杀毒引擎作过测试,才能回避他们的防卫机制。Hyppnen说:病毒作者扫瞄他们的恶意软件,并且不断修改,直到能通过过滤器为止。
根据Hypponen的说法,Symbian对移动应用程序采分级签名程序。Sexy Space是通过专门为免费软件所设快速签名程序,Hypponen说:这显示快速签名程序并非安全无虞,但还是远比那些完全没有签名验证的软件好。
Heath表示,Symbian正在升级其自动扫瞄程序,人力审核程序也将有所改善。不过,人力审核的规模可能不会扩大,因为这部分耗费较多成本和时间,容易延误整个程序。
Symbian也希望加强应用程序发行工作的自动化。该组织发表新的Symbian Horizon计划时在官方博客写道:目前,(Symbian)大部分的工作程序都有赖人力。我们近期的目标,是开发一套能自动化这项工作的系统,让我们将计划扩大,尽可能纳入更多应用程序。
Symbian Horizon计划是要挑选开发者提交的应用程序,然后支持他们完成开发和申请,最后放上移动应用程序商店。Symbian表示,Horizon的主要目标之一,是尽量将应用程序的发行工作自动化。