Badacze z Centrum Bezpieczeństwa Informacyjnego Helmholtza (CISPA), Uniwersytetu Stanowego w Ohio i Uniwersytetu Nowojorskiego badanie ukrytej funkcjonalności w aplikacjach na platformę Android. Analizując 100 tysięcy aplikacji mobilnych z katalogu Google Play, 20 tysięcy z alternatywnego katalogu (Baidu) oraz 30 tysięcy preinstalowanych na różnych smartfonach aplikacji wybieranych z 1000 firmware'ów z SamMobile, , odkryto, że 12706 (8.5%) programów zawiera ukrytą dla użytkownika funkcjonalność, która może być aktywowana za pomocą specjalnych sekwencji i może być uznawana za backdoory.
W szczególności 7584 aplikacji zawierało wbudowane tajne klucze dostępu, 501 — wbudowane hasła główne, a 6013 — ukryte komendy. Problematyczne aplikacje występowały we wszystkich rozważanych źródłach oprogramowania — w procentach backdoory wykryto w 6.86% (6860) badanych programów z Google Play, w 5.32% (1064) z alternatywnego katalogu i w 15.96% (4788) z listy preinstalowanych aplikacji. Wykryte backdoory pozwalają każdemu, kto zna klucze, hasła aktywacyjne i sekwencje do wywoływania komend, uzyskać dostęp do aplikacji i wszystkich związanych z nią danych.
Na przykład w aplikacji do transmisji meczów sportowych, mającej 5 milionów instalacji, odkryto wbudowany klucz do panelu administracyjnego, który umożliwia zmianę ustawień aplikacji i uzyskanie dostępu do dodatkowej funkcjonalności. W aplikacji do blokowania ekranu, również mającej 5 milionów instalacji, znaleziono klucz dostępu, który pozwala zresetować hasło ustawione przez użytkownika w celu zablokowania urządzenia. W aplikacji tłumaczącej, mającej 1 milion instalacji, obecny jest klucz, który pozwala dokonywać zakupów wewnątrz aplikacji i zaktualizować program do wersji pro bez faktycznej płatności.
W programie zdalnego zarządzania zgubionym urządzeniem, który ma 10 milionów instalacji, odkryto główne hasło umożliwiające zdjęcie blokady nałożonej przez użytkownika w przypadku utraty aparatu. W programie do prowadzenia notatnika znaleziono główne hasło, które pozwala na odblokowanie tajnych notatek. W wielu aplikacjach zidentyfikowano również tryby debugowania, które otwierają dostęp do niskopoziomowych możliwości, na przykład w aplikacji zakupowej po wprowadzeniu określonej kombinacji uruchamiany był serwer proxy, a w programie edukacyjnym istniała możliwość ominięcia testów.
Oprócz backdoorów w 4028 (2,7%) aplikacjach zidentyfikowano obecność czarnych list, stosowanych do cenzurowania informacji docierających od użytkowników. Stosowane czarne listy zawierają zestawy zakazanych do wspominania słów, w tym nazwy partii politycznych oraz polityków, typowe frazy używane do zastraszania i dyskryminacji określonych grup społecznych. Czarne listy zidentyfikowano w 1,98% badanych programów z Google Play, w 4,46% z alternatywnego katalogu oraz w 3,87% z listy aplikacji preinstalowanych.
Do przeprowadzenia analizy wykorzystano narzędzie stworzone przez badaczy, InputScope, którego kod wkrótce zostanie opublikowany na GitHubie (wcześniej badacze opublikowali już statyczny analizator , który automatycznie identyfikuje wycieki informacji w aplikacjach).
Źródło: opennet.ru
