Google 在 Android 17 中引入四项网络连接安全功能，包括支持 Encrypted Client Hello（ECH）隐藏访问域名、默认启用 Certificate Transparency（CT）、强制实施 Local Network Protection 让应用扫描本地网络前需用户授权，以及允许运营商为订户默认关闭 2G 以阻断 SMS blaster 攻击。
推荐理由：Android 17 把本地网络访问改为需用户授权，并让运营商可默认关闭 2G，管理移动设备与网络的读者可据此评估升级和策略调整。
Zygote 是 Android 系统中所有应用进程的"祖先"，通过 fork() 机制派生新进程。向 Zygote 注入模块后，后续所有由 Zygote fork 出的应用进程都会继承该模块，从而实现向派生进程注入的效果。
DEF CON 34 议题 Gone in 60 Frames – USB Video Exploitation 的幻灯片与白皮书已上传至 DEF CON 媒体服务器，作者为 Alex Plaskett 和 Robert Herrera。AmnestyTech 的 Donncha Ó Cearbhaill 表示，这项 USB 利用研究受到并延续了该机构对 Cellebrite 在野利用 Android USB 驱动的取证研究。
卡巴斯基 2026 年 Q2 移动威胁报告显示，当季拦截超 199 万次针对移动设备的恶意软件、广告软件及有害软件攻击，较上季度的 267 万次继续下降。共发现 304,128 个恶意安装包，其中银行木马类占比 30.77%，为最普遍的移动威胁，另有 93,574 个与移动银行木马相关、570 个与移动勒索木马相关。
Google 威胁情报组（GTIG）披露，UNC6671 在 BlackFile 品牌宣称于 2026 年 5 月退出后并未解散，而是以 Redact、Pink、Helix、Falcon 等多个勒索品牌继续活动。
推荐理由：GTIG 披露 UNC6671 通过语音钓鱼与 AiTM 窃取会话，并给出针对身份认证与 SaaS 审计的加固清单。
研究提出 MIRAGE，一种利用用户生成内容对移动 GUI 智能体实施上下文感知提示注入的攻击方法。移动 GUI 智能体由视觉-语言模型（VLM）驱动，将屏幕视为渲染后的图像，MIRAGE 借此通过用户生成内容注入提示，诱导智能体执行非预期操作。
Google 发文反对欧盟委员会依据 DMA 提出的 Android 互操作性最终措施，认为强制向用户下载的 AI 代理开放深度系统级权限会破坏 Android 的安全模型。
Google 发布 2026 年 8 月 Pixel 更新公告，修复视频处理单元中的高危提权漏洞 CVE-2026-0163（参考编号 A-493648935）。所有受支持的 Pixel 设备将收到安全补丁级别 2026-08-05 的更新，该级别同时涵盖 2026 年 8 月 Android 安全公告中的全部问题。Google 建议所有用户接受更新。
Google 发布 2026 年 8 月 Android 安全公告，设备安全补丁级别达到 2026-08-05 或更高即已修复公告中所有漏洞。相关源代码补丁将在公告首发后 48 小时内发布到 AOSP 代码库，Google 会提前至少 1 个月通知 Android 合作伙伴。公告同时说明 Google Play 保护机制等缓解措施，并建议用户尽量更新到最新版 Android。
Google 发布 2026 年 7 月 Pixel 更新公告，所有受支持的 Pixel 设备将收到安全补丁级别 2026-07-05 的更新，该级别可解决本公告及 2026 年 7 月 Android 安全公告中所述的全部问题。本公告不含安全补丁，仅包含功能补丁，详情见 Pixel 社区论坛。
Android 发布 2026 年 7 月安全公告，本公告中不含安全漏洞。安全补丁级别为 2026-07-05 或更新的设备即已涵盖本公告及此前所有补丁级别的问题，预装该更新的厂商应将补丁字符串设为 [ro.build.version.security_patch]:[2026-07-05]。
Google 联合 FBI、Lumen 等对 NetNut（又称 Popa）住宅代理网络采取行动，禁用了其用于恶意软件 C2 的 Google 账号，并通过 Google Play Protect 自动警告用户并禁用已知集成 NetNut SDK 的应用。
推荐理由：Google 联合 FBI 等对 NetNut 住宅代理网络采取行动，Android 用户可据此了解哪些应用和联网设备存在被卷入代理网络的风险。
Google 发布 2026 年 6 月 Pixel 更新公告，为受支持的 Pixel 设备修复内核、Pixel、Qualcomm 等组件的多个安全漏洞，其中调制解调器、WC-Radio、libpixelimsmedia、gIMS、EdgeTPU 等子组件存在严重级别 RCE 与 EoP 问题。
推荐理由：公告按组件列出 Pixel 设备本次修复的漏洞与严重级别，使用 Pixel 的读者可据此确认 2026-06-05 补丁级别是否已覆盖。
Google 在 Phone by Google 中推出假来电检测功能，本月起面向 Android 12+ 设备全球推送，首批为 Pixel 设备。当联系人和你都在使用 Phone by Google 时，双方设备通过端到端加密的 RCS 实时发送确认信号核验来电；若冒充者缺少该信号且联系人真实设备否认正在通话，屏幕会提示立即挂断。
推荐理由：Android 12+ 用户可了解这项默认开启的来电身份核验机制如何识别 AI 语音克隆冒充，以及如何关闭或换用 Phone by Google。
Android Framework 存在一个整数溢出漏洞，可导致代码执行并实现本地提权。该漏洞已被列入 CISA 在野漏洞目录。
Google 发布 2026 年 6 月 Android 安全公告，修复框架、系统、内核及多家芯片组组件中的安全漏洞，其中框架组件存在一个无需用户交互即可远程提权的严重漏洞。
ESET 披露 Android 远程访问木马 BTMOB，该恶意软件由 SpySolr 演化而来，通过伪装流媒体、加密货币挖矿等服务的钓鱼网站和仿冒应用商店诱导用户安装恶意 APK，并滥用 Android Accessibility Services 获取更高权限。
推荐理由：BTMOB 把远程控制、屏幕录制和 APK 生成工具打包成 MaaS 出售，说明 Android 恶意软件的门槛已低到无需写代码即可定制钓鱼诱饵。
卡巴斯基 2026 年 Q1 移动威胁报告显示，KSN 拦截超 267 万次恶意软件、广告软件及不受欢迎软件攻击，较上季度 323 万次下降，但主要源于广告软件和 RiskTool 检出减少，受影响独立用户数基本稳定。银行木马安装包激增，占全部检出应用的 52.96%，Mamont 变种占银行木马检出的 73.5%。预装 Triada.ag 后门升至检出榜首，占比 7.09%。
Google Project Zero 公开了一条针对 Pixel 10 的零点击利用链，从 Dolby 解码器漏洞 CVE-2025-54957 到内核提权共两步。
推荐理由：Project Zero 公开 Pixel 10 零点击利用链的完整技术路径，展示 Android 驱动中一个浅层 mmap 缺陷如何被直接用于内核任意读写。
Google 发布 Intrusion Logging，称其为首个专为移动端高级攻击取证调查打造的系统。AmnestyTech 作为设计合作伙伴，参与了 Intrusion Logging 与 Advanced Protection Mode 的开发。
Google 公布 Android 17 的安全与隐私更新，包括与银行合作验证来电以拦截冒充金融机构的诈骗电话，该功能将在未来几周面向 Android 11+ 设备上的 Revolut、Itaú 和 Nubank 推出。
推荐理由：Android 17 把反诈、防盗和隐私控制做成默认开启的系统能力，管理移动设备的读者可据此评估升级与策略配置。
ESET 发现并报告了 28 款名为 CallPhantom 的 Android 诈骗应用，这些应用在 Google Play 上累计下载超过 730 万次，谎称可查询任意号码的通话记录、短信和 WhatsApp 通话历史，实际返回的是硬编码加随机生成的虚假数据。
推荐理由：ESET 披露 28 款在 Google Play 累计下载超 730 万次的诈骗应用，读者可据此识别同类虚假查询类应用并了解退款途径。
ESET 发现与朝鲜有关的 APT 组织 ScarCruft 对延边地区一家游戏平台发起多平台供应链攻击，该攻击可能自 2024 年底持续至今。平台上的 Windows 客户端通过恶意更新被植入 RokRAT 后门，进而部署更复杂的 BirdCall 后门；两款 Android 游戏被植入 Android 版 BirdCall 后门，这是该组织武器库中的新工具。
推荐理由：ESET 首次公开 ScarCruft 的 Android 版 BirdCall 后门分析，揭示了游戏平台供应链投毒如何同时波及 Windows 与 Android 用户。
卡巴斯基基于 KSN 数据发布 2025 年金融网络威胁报告：PC 银行木马占比下降，信息窃取器窃取凭据成为金融犯罪核心驱动力，移动银行木马则持续增长。金融钓鱼重心转向电商（14.17%）与数字服务（16.15%），在线商店占金融钓鱼页面 48.45%、银行占 26.05%、支付系统占 25.50%，且攻击呈现明显区域化特征。
卡巴斯基发现针对巴西的 Android 恶意软件 BeatBanker，通过伪装成 Google Play Store 的钓鱼网站传播，恶意 APK 同时携带加密货币挖矿程序和银行木马。
推荐理由：卡巴斯基披露的 BeatBanker 用循环播放音频维持前台服务，这种保活手法对 Android 后台限制的绕过值得防御者关注。
卡巴斯基发布 2025 年移动恶意软件报告，全年拦截超过 1400 万次恶意、广告或不受欢迎移动软件攻击，广告软件占全部检出的 62%。全年发现 815,735 个新的独立安装包，其中移动银行木马安装包达 255,090 个，较往年增长数倍，Mamont 约占银行木马攻击的一半。
ESET 发文解析移动应用权限风险，指出 Android 6.0 起将权限分为安装时静默授予的普通权限和需运行时明确批准的危险权限，iOS 则在运行时弹出所有敏感权限请求。无障碍服务、后台位置、短信/通话记录和悬浮窗权限风险最高，恶意应用可借此窃取密码、拦截一次性验证码、监控位置甚至将手机变为窃听设备。建议仅授予"仅此次"或"使用期间"权限，并定期检查已授权项。
ESET 发现首款已知在自身执行流程中滥用生成式 AI 的 Android 恶意软件，该恶意软件滥用 Gemini 在受感染设备上实现持久化。研究人员 Lukas Stefanko 公布了这一发现。
ESET 研究人员发现首个滥用生成式 AI 进行上下文感知 UI 操作的 Android 恶意软件家族 PromptSpy，它调用 Google Gemini 分析屏幕 XML 并获取分步点击指令，以将自身锁定在最近任务列表中实现驻留。
推荐理由：ESET 披露首个用生成式 AI 维持驻留的 Android 恶意软件，展示了 AI 如何让恶意软件适配任意设备 UI。
卡巴斯基发现一个名为 Keenadu 的新型 Android 后门，它被植入设备固件，通过 libandroid_runtime.so 注入 Zygote 进程，从而感染设备上启动的每一个应用。
推荐理由：卡巴斯基披露固件级后门 Keenadu 的完整感染链，并首次串联 Triada、BADBOX、Vo1d 等 Android 僵尸网络之间的关联。
ESET 研究人员发现一个针对巴基斯坦用户的 Android 间谍软件攻击活动，恶意应用 GhostChat（包名 com.datingbatch.chatapp）伪装成约会聊天平台，用 14 个虚假女性资料和硬编码解锁码制造专属感，安装后即向 C&C 服务器外泄设备 ID、联系人和图片、PDF、Word、Excel、PowerPoint 等文件，并每五分钟扫描新文档。
推荐理由：ESET 披露的 GhostChat 间谍软件把恋爱诈骗话术与持续数据窃取结合，还牵出 ClickFix 与 WhatsApp 设备关联两条关联攻击链，可帮助防御者理解同一攻击者的多平台手法。
ThreatFabric 披露一款名为 Sturuns 的新型移动恶意软件，具备欺诈能力，可在加密通讯消息解密后直接从设备屏幕捕获内容，从而绕过端到端加密。该恶意软件的具体传播方式、受影响平台和攻击目标尚未在推文中说明，完整分析见其发布的长文。
有人进入 Cellebrite 与代表的 Microsoft Teams 会议，随后泄露了一张展示该公司针对多款 Google Pixel 手机能力的截图。404 Media 报道了这起潜入会议并泄露手机解锁细节的事件。
📜 𝐇𝐞𝐫𝐨𝐝𝐨𝐭𝐮𝐬：想变成人类的恶意软件 与传统银行木马不同，Herodotus 不只是窃取凭据——𝐢𝐭 𝐩𝐫𝐞𝐭𝐞𝐧𝐝𝐬 𝐭𝐨 𝐛𝐞 𝐡𝐮𝐦𝐚𝐧。 👉 在此阅读完整博客：https://hubs.ly/Q03QmJjP0