ຜົນການວິເຄາະຂອງ backdoors ໃນແອັບພລິເຄຊັນ Android

ນັກຄົ້ນຄວ້າຢູ່ສູນ Helmholtz ສໍາລັບຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ (CISPA), ມະຫາວິທະຍາໄລລັດ Ohio ແລະມະຫາວິທະຍາໄລນິວຢອກ ໃຊ້ຈ່າຍ ການ​ຄົ້ນ​ຄວ້າ​ຂອງ​ການ​ທໍາ​ງານ​ທີ່​ເຊື່ອງ​ໄວ້​ໃນ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ສໍາ​ລັບ​ເວ​ທີ Android​. ການວິເຄາະ 100 ພັນແອັບພລິເຄຊັນມືຖືຈາກແຄັດຕາລັອກ Google Play, 20 ພັນຈາກລາຍການທາງເລືອກ (Baidu) ແລະ 30 ພັນແອັບພລິເຄຊັນທີ່ຕິດຕັ້ງໄວ້ລ່ວງໜ້າໃນສະມາດໂຟນຕ່າງໆ, ເລືອກຈາກ 1000 ເຟີມແວຈາກ SamMobile, ສະແດງໃຫ້ເຫັນວ່າ 12706 (8.5%) ໂປລແກລມມີຫນ້າທີ່ເຊື່ອງໄວ້ຈາກຜູ້ໃຊ້, ແຕ່ຖືກເປີດໃຊ້ໂດຍໃຊ້ລໍາດັບພິເສດ, ເຊິ່ງສາມາດຈັດປະເພດເປັນ backdoors.

ໂດຍສະເພາະ, 7584 ແອັບພລິເຄຊັນລວມເອົາກະແຈການເຂົ້າເຖິງລັບທີ່ຝັງໄວ້, 501 ປະກອບມີລະຫັດຜ່ານຕົ້ນສະບັບທີ່ຝັງໄວ້, ແລະ 6013 ປະກອບມີຄໍາສັ່ງທີ່ເຊື່ອງໄວ້. ຄໍາຮ້ອງສະຫມັກທີ່ມີບັນຫາແມ່ນພົບເຫັນຢູ່ໃນແຫຼ່ງຊອບແວທັງຫມົດທີ່ກວດສອບ - ໃນອັດຕາສ່ວນຮ້ອຍ, backdoors ໄດ້ຖືກລະບຸໄວ້ໃນ 6.86% (6860) ຂອງໂຄງການທີ່ສຶກສາຈາກ Google Play, ໃນ 5.32% (1064) ຈາກລາຍການທາງເລືອກ ແລະໃນ 15.96% (4788) ຈາກບັນຊີລາຍຊື່ຂອງແອັບພລິເຄຊັນທີ່ຕິດຕັ້ງໄວ້ກ່ອນ. backdoors ທີ່ຖືກກໍານົດອະນຸຍາດໃຫ້ທຸກຄົນທີ່ຮູ້ກະແຈ, ລະຫັດຜ່ານການເປີດໃຊ້ງານແລະລໍາດັບຄໍາສັ່ງສາມາດເຂົ້າເຖິງແອັບພລິເຄຊັນແລະຂໍ້ມູນທັງຫມົດທີ່ກ່ຽວຂ້ອງກັບມັນ.

ຕົວຢ່າງ, ແອັບສະຕຣີມມິງກິລາທີ່ມີການຕິດຕັ້ງ 5 ລ້ານຄັ້ງ ພົບວ່າມີລະຫັດໃນຕົວເພື່ອເຂົ້າສູ່ລະບົບອິນເຕີເຟດຜູ້ເບິ່ງແຍງລະບົບ, ໃຫ້ຜູ້ໃຊ້ສາມາດປ່ຽນການຕັ້ງຄ່າແອັບ ແລະເຂົ້າເຖິງຄວາມສາມາດເພີ່ມເຕີມໄດ້. ໃນແອັບລັອກໜ້າຈໍທີ່ມີການຕິດຕັ້ງ 5 ລ້ານຄັ້ງ, ມີການພົບເຫັນກະແຈການເຂົ້າເຖິງທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດຣີເຊັດລະຫັດຜ່ານທີ່ຜູ້ໃຊ້ຕັ້ງເພື່ອລັອກອຸປະກອນ. ໂປລແກລມແປພາສາ, ທີ່ມີການຕິດຕັ້ງ 1 ລ້ານ, ປະກອບມີກຸນແຈທີ່ອະນຸຍາດໃຫ້ທ່ານເຮັດການຊື້ໃນ app ແລະຍົກລະດັບໂຄງການເປັນສະບັບ pro ໂດຍບໍ່ມີການຈ່າຍຕົວຈິງ.

ໃນໂປລແກລມສໍາລັບການຄວບຄຸມຫ່າງໄກສອກຫຼີກຂອງອຸປະກອນທີ່ສູນເສຍ, ເຊິ່ງມີການຕິດຕັ້ງ 10 ລ້ານ, ລະຫັດຜ່ານຕົ້ນສະບັບໄດ້ຖືກລະບຸໄວ້ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະເອົາ lock ທີ່ກໍານົດໄວ້ໂດຍຜູ້ໃຊ້ໃນກໍລະນີຂອງການສູນເສຍອຸປະກອນ. ລະຫັດຜ່ານຫຼັກໄດ້ຖືກພົບເຫັນຢູ່ໃນໂຄງການໂນ໊ດບຸ໊ກທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດປົດລັອກບັນທຶກລັບໄດ້. ໃນຫຼາຍໆແອັບພລິເຄຊັນ, ໂຫມດການດີບັກໄດ້ຖືກກໍານົດໃຫ້ເຂົ້າເຖິງຄວາມສາມາດໃນລະດັບຕ່ໍາ, ຕົວຢ່າງເຊັ່ນ, ໃນແອັບພລິເຄຊັນການຄ້າ, ເຄື່ອງແມ່ຂ່າຍຂອງຕົວແທນຖືກເປີດຕົວເມື່ອມີການປະສົມປະສານທີ່ແນ່ນອນ, ແລະໃນໂຄງການຝຶກອົບຮົມມີຄວາມສາມາດທີ່ຈະຂ້າມການທົດສອບ. .

ນອກເຫນືອໄປຈາກ backdoors, 4028 (2.7%) ຄໍາຮ້ອງສະຫມັກໄດ້ຖືກພົບເຫັນວ່າມີບັນຊີດໍາທີ່ໃຊ້ເພື່ອ censor ຂໍ້ມູນທີ່ໄດ້ຮັບຈາກຜູ້ໃຊ້. ບັນ​ຊີ​ດໍາ​ທີ່​ນໍາ​ໃຊ້​ມີ​ຊຸດ​ຂອງ​ຄໍາ​ສັບ​ຕ່າງໆ​ທີ່​ຕ້ອງ​ຫ້າມ​, ລວມ​ທັງ​ຊື່​ຂອງ​ພັກ​ການ​ເມືອງ​ແລະ​ນັກ​ການ​ເມືອງ​, ແລະ​ປະ​ໂຫຍກ​ປົກ​ກະ​ຕິ​ນໍາ​ໃຊ້​ເພື່ອ​ຂົ່ມ​ຂູ່​ແລະ​ຈໍາ​ແນກ​ບາງ​ສ່ວນ​ຂອງ​ປະ​ຊາ​ຊົນ​. ບັນຊີດໍາໄດ້ຖືກກໍານົດຢູ່ໃນ 1.98% ຂອງໂຄງການທີ່ສຶກສາຈາກ Google Play, ໃນ 4.46% ຈາກລາຍການທາງເລືອກແລະໃນ 3.87% ຈາກບັນຊີລາຍຊື່ຂອງແອັບພລິເຄຊັນທີ່ຕິດຕັ້ງໄວ້ກ່ອນ.

ເພື່ອປະຕິບັດການວິເຄາະ, ເຄື່ອງມື InputScope ທີ່ສ້າງໂດຍນັກຄົ້ນຄວ້າໄດ້ຖືກນໍາໃຊ້, ລະຫັດທີ່ຈະຖືກປ່ອຍອອກມາໃນອະນາຄົດອັນໃກ້ນີ້. ຈັດພີມມາ ໃນ GitHub (ນັກຄົ້ນຄວ້າໄດ້ຈັດພີມມາກ່ອນຫນ້ານີ້ ການວິເຄາະ static LeakScope, ເຊິ່ງອັດຕະໂນມັດກວດພົບຂໍ້ມູນຮົ່ວໄຫຼໃນແອັບພລິເຄຊັນ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru