亥姆霍茲資訊安全中心 (CISPA)、俄亥俄州立大學和紐約大學的研究人員 Android平台應用程式隱藏功能的研究分析來自 Google Play 目錄的 100 萬個行動應用程式、來自替代目錄（百度）的 20 萬個應用程式以及從 SamMobile 的 30 個韌體中選擇的預裝在各種智慧型手機上的 1000 萬個應用程序， 12706 (8.5%) 個程式包含對使用者隱藏的功能，但使用特殊序列激活，這些序列可歸類為後門。
具體而言，7584 個應用程式包含嵌入式秘密存取金鑰，501 個應用程式包含嵌入式主密碼，6013 個應用程式包含隱藏命令。 在所有檢查的軟體來源中都發現了有問題的應用程式- 按百分比計算，在Google Play 中的6.86% (6860) 所研究的程式中發現了後門，在替代目錄中的5.32% (1064) 中發現了後門，在15.96% (4788) 中發現了後門從預先安裝的應用程式清單中。 所識別的後門允許任何知道密鑰、啟動密碼和命令序列的人存取該應用程式以及與其相關的所有資料。
例如，一個安裝量為 5 萬次的體育串流應用程式被發現有一個內建金鑰可以登入管理介面，允許用戶更改應用程式設定並存取其他功能。 在一款安裝量達 5 萬次的螢幕鎖定應用程式中，發現了一個存取金鑰，可讓您重設使用者設定的鎖定裝置的密碼。 該翻譯程式擁有 1 萬次安裝，其中包含一個金鑰，可讓您進行應用程式內購買並將程式升級到專業版，而無需實際付費。
在用於遠端控制遺失裝置的程式中，已安裝了 10 萬次，其中已識別主密碼，以便在裝置遺失時可以解除使用者設定的鎖定。 在筆記本程式中發現了主密碼，可讓您解鎖秘密筆記。 在許多應用程式中，還確定了提供對低階功能的存取的調試模式，例如，在購物應用程式中，輸入特定組合時啟動代理伺服器，並且在訓練程式中具有繞過測試的能力。
除了後門之外，還發現 4028 個（2.7%）應用程式具有用於審查從使用者收到的資訊的黑名單。 使用的黑名單包含一組禁止詞語，包括政黨和政客的名字，以及用於恐嚇和歧視某些人群的典型短語。 在研究的 Google Play 程式中，有 1.98% 被列入黑名單，在替代目錄中，有 4.46% 被列入黑名單，在預裝應用程式清單中，有 3.87% 被列入黑名單。
為了進行分析，使用了研究人員創建的InputScope工具包，其程式碼將在不久的將來發布。 在 GitHub 上（研究人員之前發布了靜態分析器 ，自動偵測應用程式中資訊的洩漏）。
來源： opennet.ru