搜索

[11696] 2017-08-23_国内某广告SDK会从Android手机中窃取用户数据，感染App下载量过亿

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-08-23_国内某广告SDK会从Android手机中窃取用户数据，感染App下载量过亿 国 内 某 广 告 S D K 会 从 A n d r o i d 手 机 中 窃 取 用 户 数 据 ， 感 染 A p p 下 载 量 过 亿 欧 阳 洋 葱   F r e e B u f   2 0 1 7 - 0 8 - 2 3 来 自 移 动 安 全 公 司 来 自 移 动 安 全 公 司   L o o k o u t   的 研 究 人 员 最 近 发 现 ， 不 少 的 研 究 人 员 最 近 发 现 ， 不 少   A n d r o i d   平 台 的 合 法 平 台 的 合 法   A p p   所 用 的 广 告 所 用 的 广 告   S D K   会 秘 密 窃 取 会 秘 密 窃 取 用 户 数 据 ， 这 款 恶 意 广 告 用 户 数 据 ， 这 款 恶 意 广 告   S D K   就 来 自 中 国 ， 而 就 来 自 中 国 ， 而   A p p   窃 取 到 的 数 据 则 会 发 往 国 内 的 服 务 器 。 窃 取 到 的 数 据 则 会 发 往 国 内 的 服 务 器 。 包 含 恶 意 包 含 恶 意   S D K   的 的   A p p   下 载 量 过 亿 次 下 载 量 过 亿 次 这 款 广 告   S D K   来 自 国 内 一 家 名 为   I g e x i n （ 个 信 ） 的 公 司 ， 从   L o o k o u t   的 报 告 来 看 ， 超 过   5 0 0   款   A p p   中 用 了 该 S D K 。 而 且 这 些   A p p   就 位 于 谷 歌 的 官 方 应 用 商 店   P l a y   S t o r e   中 。 这 些   A p p   的 下 载 总 量 超 过   1   亿 次 。 L o o k o u t   表 示 他 们 是 在 发 现 某 些 手 机 下 载 已 知 恶 意 程 序 样 本 ， 并 向   I g e x i n   A P I   服 务 器 发 出 请 求 后 开 始 追 踪   I g e x i n S D K   的 。 研 究 人 员 观 察 到 某 个   A p p   向   h t t p : / / s d k [ . ] o p e n [ . ] p h o n e [ . ] i g e x i n . c o m / a p i . p h p   的   R E S T   A P I   发 出 一 系 列 请 求 后 ， 开 始 下 载 大 型 加 密 文 件 。 这 个 域 名 就 是   I g e x i n   的 广 告   S D K 。 L o o k o u t   认 为 ， 这 类 流 量 都 是 某 个 合 法   A p p   安 装 后 下 载 执 行 恶 意 代 码 的 结 果 ， 而 且 具 有 躲 避 检 测 的 能 力 。 下 载 加 密 文 件 ， 以 及 在   c o m . i g e x i n   命 名 空 间 向   d a l v i k . s y s t e m . D e x C l a s s L o a d e r （ 用 于 加 载 来 自   . j a r   或   . a p k   文 件 的 类 ） 的 调 用 ， 就 足 以 引 起 研 究 人 员 的 怀 疑 了 ： 显 然 存 在 隐 藏 其   p a y l o a d   的 行 为 。 在 持 续 数 月 的 调 查 后 ， 研 究 人 员 发 现 ， I g e x i n   会 给 合 法   A p p   发 送 恶 意 命 令 。 L o o k o u t   基 于 这 些 合 法   A p p   在 安 装 期 间 向 用 户 请 求 的 权 限 观 察 到 ， I g e x i n   S D K   收 集 用 户 设 备 上 的 各 类 数 据 ， 不 过 绝 大 部 分 是 通 话 日 志 记 录 没 ， 包 括 通 话 时 间 、 通 话 的 电 话 号 码 、 通 话 状 态 。 这 些 数 据 都 会 以   H T T P   请 求 的 方 式 发 往 h t t p : / / s d k [ . ] o p e n [ . ] p h o n e [ . ] i g e x i n . c o m / a p i . p h p   端 点 。
值 得 一 提 的 是 ， 并 非 所 有 版 本 的   I g e x i n   广 告   S D K   都 有 恶 意 行 为 。 而 恶 意 版 本 会 执 行 某 个 插 件 框 架 ， 可 让 客 户 端 加 载 任 意 代 码 — — 针 对   h t t p : / / s d k [ . ] o p e n [ . ] p h o n e [ . ] i g e x i n . c o m / a p i . p h p   的   R E S T   A P I   端 点 请 求 响 应 。 来 自 该 端 点 的 请 求 和 响 应 都 是 已 编 码 的   J S O N   数 据 。 上 面 这 张 图 就 是 来 自 该   A P I   的 解 码 响 应 ， 引 导 客 户 端 下 载 并 执 行   2   个 加 密   J A R   文 件 中 的 代 码 。 基 于 从 服 务 器 接 收 到 的 响 应 ， S D K   会 对 文 件 进 行 解 密   — —   A P I   调 用 提 供 密 钥 ， 并 存 储 在 设 备 上 。 随 后 再 采 用   A n d r o i d   系 统 的   d a l v i k . s y s t e m . D e x C l a s s L o a d e r   和 反 射 来 加 载 来 自   J A R   文 件 的 特 定 类 。 下 载 类 中 的 插 件 功 能 完 全 可 以 由 远 程 运 营 者 决 定 ， 随 时 都 可 以 发 生 变 化 。 在 远 程   A P I   请 求 发 出 之 后 ， 用 户 和   A p p   开 发 者 实 际 上 都 控 制 不 了 其 执 行 。 可 能 存 在 的 唯 一 限 制 就 是   A n d r o i d   的 权 限 授 予 了 。 不 过 就   L o o k o u t   的 观 察 来 看 ， 其 行 为 都 是 收 集 上 面 提 到 的 通 话 记 录 信 息 。
个 信 官 网 对 公 司 产 品 的 介 绍 谷 歌 已 经 移 除 这 些 谷 歌 已 经 移 除 这 些   A p p L o o k o u t   随 后 联 系 了 谷 歌 和 这 些   A p p   的 开 发 者 。 谷 歌 很 快 禁 止 了 这 些   A p p   的 传 播 ， 等 待 开 发 者 进 行   A p p   更 新 后 方 可 上 架 。 不 过   L o o k o u t   并 没 有 指 明 究 竟 是 哪 些   A p p   包 含   I g e x i n   S D K ， 毕 竟 这 不 是   A p p   开 发 者 的 错 。 但   L o o k o u t   提 供 了 下 面 这 张 列 表 ， 提 及 分 别 有 哪 些 类 别 的   A p p   被 感 染 ： 针 对 青 少 年 的 游 戏 （ 其 中   1   款 下 载 量 达 到   5 0 0 0 万   -   1 亿 次 ） 天 气   A p p   （ 其 中   1   款 下 载 量   1 0 0   -   5 0 0   万 次 ） 互 联 网 电 台   （ 5 0   万   -   1 0 0   万 次 ） 图 片 编 辑 工 具 （ 1 0 0   -   5 0 0   万 次 ） 教 育 、 健 康 与 瘦 身 、 旅 行 、 表 情 、 家 用 视 频 摄 像 头   A p p 详 情 可 以 点 击 阅 读 原 文 参 见   L o o k o u t   的 报 告 。 *   参 考 来 源 ： B l e e p i n g C o m p u t e r ， 欧 阳 洋 葱 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理