爆料:安卓“间谍门”事件愈演愈烈,又一家中国公司被曝在300万台安卓设备中植入rootkit

2016-11-21 476932人围观 ,发现 21 个不明物体 资讯

今年11月15日左右,美国多家媒体爆料上海广升的固件OTA方案存在后门,其固件会每隔72小时就把你所有的短信内容、联系人等都发送到中国服务器,这种软件监视用户去过哪里,他们与什么人聊过天,他们在短信中写了什么等。这次爆料也使得广升陷入“间谍门“事件,但是事情还没结束。

11月17日左右,AnubisNetworks的CTO(João Gouveia)和BitSight的安全研究人员(Dan Dahlberg)发现多个品牌的Android手机固件OTA升级机制存在安全问题,包括在美国百思买出售的BLU Studio G等。而这种不安全的的OTA升级机制和中国一家名为锐嘉科(Ragentek Group)的公司有关。

android-malware-bn.jpg

从这家公司的官网来看,锐嘉科集团有限公司提供移动智能终端整机方案服务,而且它也来自上海!“提供工业设计、结构设计、硬件设计、软件设计、生产制造、测试、QA的全套移动终端解决方案;提供产品预研、海外智能产品研发、国内大客户产品研发、自有品牌研发等服务”。

300万台安卓设备植入RootKit

根据研究报告声称,已经有三百万台安卓设备在出厂的时候被被植入了该恶意软件。安装该恶意软件的设备可被黑客进行中间人攻击,并且以root权限执行任意代码以此来获得对Android设备的绝对控制权,其主要原因是因为设备在OTA更新的时候没有采取严格的加密措施导致的。

两位研究人员从Best Buy官网购买了一部BLU Studio G安卓手机,在研究人员才配置好抓包系统后,很快一条未加密的连接就出现在了屏幕上,该连接指向了oyag.lhzbdvm.com。

1.jpg

然后,该设备又尝试和两个未被注册的域名进行通讯。对的,你没看错,锐嘉科自己开发的代码居然和两个未被注册的域名进行了通讯。安全研究人员很快就注册了这两个域名,而这个步骤,也是研究人员获取到全球感染该rootkit数量的关键步骤。

3.jpg

研究报告中提到,整个存在问题的OTA升级机制就跟这家中国公司——锐嘉科相关,其中包含隐藏的二进制文件/system/bin/debugs。它以root权限运行,并与3个主机进行为未加密通讯。

2.jpg

研究人员表示,该特权二进制文件不仅会将用户信息暴露给MITM攻击者,而且的确就是个rootkit。先前我们报道广升的固件是拿取用户和设备信息,而锐嘉科的固件则堂而皇之、不对收发信息加密,而且也不采用代码签署确认应用合法性。CERT的顾问表示,这个二进制文件还采用了多种方式来隐藏自己的进程,因此才将它称为一个rootkit。

远程攻击者完全可以窃取受影响设备的个人信息,远程进行设备的wipe操作,甚至可以在企业网络中获取其他系统的访问权,获取敏感信息。

该报告声称,这个rootkit包含在多数与锐嘉科集团相关的设备和供应商的设备上。以下为感染列表。

BLU Studio G

BLU Studio G Plus

BLU Studio 6.0 HD

BLU Studio X

BLU Studio X Plus

BLU Studio C HD

Infinix Hot X507(某主攻欧洲、非洲市场的国产品牌)

Infinix Hot 2 X510

Infinix Zero X506

Infinix Zero 2 X509

DOOGEE Voyager 2 DG310

LEAGOO Lead 5

LEAGOO Lead 6

LEAGOO Lead 3i

LEAGOO Lead 2S

LEAGOO Alfa 6

IKU Colorful K45i

Beeline Pro 2

XOLO Cube 5.0

根据统计,目前受到此rootkit感染的安卓设备数量超过280万台。在研究人员分析完二进制文件,并且根据刚刚注册的两个域名搭建好服务器后,迅速由超过百万的设备连接到服务器。

Distribution of Observed Devices by Manufacturer.png

到目前为止,BLU Products公司发布了一个软件更新来修复该漏洞,目前暂时不知该更新是否能够修复这个漏洞,研究人员也尚未进行测试。但是,其余的Android设备可能仍然这个Rootkit的受到影响。

显然这次的中国安卓设备“间谍门“事件越演越烈,或许将会影响到中国到欧美地区的国际业务,而美国政府很有可能会加大对中国互联网产品的安全检测。

如果想了解详细的报告,你可以访问《锐嘉科RootKit详细事件分析》

*本文作者:ArthurKiller,编译自thehackernews,转载请注明来自FreeBuf(FreeBuf.com)

这些评论亮了

  • yyy3333 回复
    一定是国外黑客入侵了国内厂商在oem里添加里后门 这太可怕了
    )25( 亮了
  • flowind 回复
    呵呵...对于国外市场来说..国内公司真的不好混..
    国外讲究人权.讲究各种自由.国内有人权.自由 这一说??
    )23( 亮了
  • 山外的鸭子哥 回复
    经查询两个未注册的域名此前注册过但今年八月份被释放了,应该是锐嘉科之前用了后来不用了估计忘记了续费~然而代码里还在与这俩域名通信啊....
    )21( 亮了
  • xsser 回复
    想起了,当年进入百度内网看到的绝密后门计划事件
    )20( 亮了
  • real豆沙包 回复
    这在国内都不叫事……
    )18( 亮了
发表评论

已有 21 条评论

取消
Loading...
css.php