רכיב היישום Baidu מעמיד 100 מיליון מכשירי אנדרואיד בסיכון

ערכת פיתוח תוכנה שנוצרה על ידי חברת שירותי האינטרנט הסינית Baidu והשתמשה בה אלפי אפליקציות Android מכילה תכונה המעניקה לתוקפים גישה דמוית דלת למשתמשים, "SDK נקראת Moplus ובזמן שהיא אינה פתוחה לציבור, היא שולבה ביותר מ -14,000 אפליקציות, מתוכם רק כ -4,000 נוצרו על ידי באידו, כך טוענים חוקרים מאוניברסיטת טרנד מיקרו בבלוג של יום ראשון.

החברה מעריכה כי היישומים המושפעים נמצאים בשימוש של למעלה מ -100 מיליון משתמשים. [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows]

לפי ניתוח טרנד מיקרו, ה- Moplus SDK Ope ns בשרת HTTP בהתקנים שבהם מותקנים אפליקציות מושפעות; השרת אינו משתמש באימות ומקבל בקשות מאנשים באינטרנט.

גרוע מכך, על ידי שליחת בקשות לשרת HTTP זה מוסתר, התוקפים יכולים לבצע פקודות מוגדרות מראש שיושמו ב- SDK. ניתן להשתמש בהם כדי לחלץ מידע רגיש כגון נתוני מיקום ושאילתות חיפוש, וכן להוסיף אנשי קשר חדשים, להעלות קבצים, לבצע שיחות טלפון, להציג הודעות מזויפות ולהתקין יישומים.

בהתקנים שהיו מושרשים, SDK מאפשר את ההתקנה השקטה של ​​יישומים, כלומר משתמשים לא תתבקש לאישור. למעשה, החוקרים טרנד מיקרו כבר מצאו תולעת בטבע כי מנצל את הדלת האחורית כדי להתקין יישומים לא רצויים. החוקרים מאמינים כי במובנים רבים פגם Moplus גרוע יותר מזה שהתגלה מוקדם יותר השנה בספריית Stagefright של אנדרואיד, מכיוון שלפחות אחד מהם נזקק לתוקפים לשלוח הודעות מולטימדיה זדוניות ל מספרי הטלפון של המשתמשים או כדי להטעות אותם לתוך כתובות זדוניות.

על מנת לנצל את הבעיה Moplus התוקפים יכולים פשוט לסרוק את כל הרשתות הניידות עבור כתובות פרוטוקול אינטרנט שיש להם את יציאות שרת MOPlus HTTP ספציפי נפתח,

>> Baidu פרסמה גרסה חדשה של ה- SDK שבו היא הסירה פקודות מסוימות, אך שרת HTTP עדיין נפתח, עדיין ניתן לנצל חלק מהפונקציונליות, הטרנד Micro כך אמר נציג Baidu בדוא"ל. "באידו אישרה את כל הבעיות הביטחוניות שדווחו לחברה ב -30 באוקטובר. "הקוד הנותר שזיהה בפוסט האחרון של הטרנד [Micro Trend] כבעייתי פוטנציאלי לאחר התיקון שלנו הוא למעשה קוד מת, ללא כל השפעה."

אין "דלתות אחוריות", אמר הנציג, והוסיף כי קוד לא פעיל יוסר בגירסה הבאה של היישומים של החברה עבור "הבהירות".

עם זאת, השאלה נותרת עד כמה כל מפתחי צד שלישי שהשתמשו ב- SDK זה יעדכנו את היישומים שלהם בגרסה העדכנית ביותר. רשימת הטרנד של Micro מבין 20 היישומים המושפעים ביותר כוללת אפליקציות של מפתחים שאינם Baidu וחלקם עדיין ב- Google Play.