Xiaomi poate instala aplicaţii pe smartphone-urile sale fără ştirea utilizatorilor

Deţineţi un smartphone cu Android de la Xiaomi, HTC, Samsung sau OnePlus?

În cazul în care aveţi, conform unui articol al The Hacker News, trebuie să fiţi conştienţi de faptul că aproape toţi producătorii de smartphone-uri furnizează ROM-uri – precum CyanogenMod, Paranoid Android, MIUI sau altele care deţin anumite tematici şi aplicaţii preinstalate – pentru îmbunătăţirea performanţei dispozitivului.

Dar aveţi vreo idee despre aplicaţiile şi serviciile preinstalate de producător pe dispozitivul dumneavoastră? Care sunt scopurile lor? Şi, prezintă ele vreo ameninţare la securitatea sau intimitatea dumneavoastră?

Având curiozitatea de a găsi răspunsuri la aceste întrebări, un student olandez la informatică şi un entuziast în probleme de securitate, care deţine un smartphone Xiaomi Mi4, a lansat o investigaţie pentru a afla care este scopul unei misterioase aplicaţii preinstalate, numită AnalyticsCore.apk şi care este activată non-stop în fundal şi reaparare chiar şi atunci când o ştergi.

Xiaomi este unul dintre cei mai mari producători din lume de smartphone-uri şi a fost criticat anterior pentru că a răspândit programe virusate de tip malware, pentru livrarea handset-urilor cu spyware-uri sau adware-uri preinstalate, pentru folosirea unei versiuni ramificate a Android OS, şi pentru că a vândut în secret datele deţinute de utilizatori în dispozitiv, fără permisiunea lor.

După ce a pus o întrebare în legătură cu scopul aplicaţiei AnalyticsCore pe forumul de suport al companiei Xiaomi, fără a primi vreun răspuns, Thijs Broenink a analizat codul şi a descoperit că aplicaţia caută update-uri noi pe serverul oficial al companiei la fiecare 24 de ore.

În timp ce realizează aceste cereri, aplicaţia trimite informaţii către serverul companiei date pentru identificarea dispozitivului, inclusiv codul IMEI, modelul, adresa MAC, Nonce-ul, Package name-ul precum şi semnătura.

Dacă există un update disponibil cu numele “Analytics.apk”, aplicaţia o va descărca şi instala în smartphone fără vreo interacţiune cu utilizatorul. “Nu am putut să găsesc nicio dovadă în interiorul aplicaţiei Analytics, aşadar presupun că există o aplicaţie Xiaomi mai privilegiată care instalează [update-ul] în fundal”, a declarat Broenink într-un mesaj postat pe blogul său.

Acum, întrebarea este: “Verifică telefonul dumneavoastră validitatea APK-ului şi se asigură că este de fapt o aplicaţie Analytics?”

Broenink a descoperit că nu există nicio validare pentru a verifica ce fel de APK este instalat pe telefonul utilizatorului, ceea ce înseamnă că există o cale prin care hackerii ar putea exploata această breşă.

Acest lucru înseamnă, de asemenea, că Xiaomi poate instala de la distanţă şi în tăcere orice aplicaţie pe dispozitivul vostru prin simpla redenumire a acelei aplicaţii în “Analytics.apk” şi urcarea sa pe serverul companiei.

“Aşadar, se pare că, Xiaomi poate înlocui în tăcere, într-un interval de 24 de ore, orice pachet doreşte şi care se află pe dispozitivul dumneavoastră. Şi nu sunt sigur când este instalată această App Installer, dar mă întreb dacă este posibil să fie plasată propria dumneavoastră aplicaţie Analytics.apk în interiorul directorului corect şi unde va aştepta pentru a fi instalată”, a susţinut Broenink.

Hackerii pot exploata această “uşă lăturalnică”

Din moment ce Broenink nu a descoperit scopul real al aplicaţiei AnalyticsCore, nici pe google şi nici pe website-ul companiei este greu de spus de ce a păstrat Xiaomi această “uşă lăturalnică” misterioasă pe milioanele sale de dispozitive.

După cum au declarat unii analişti, nu există uşi lăturalnice pe care doar creatorii lor să le acceseze.

Aşadar, dacă hackerii sau vreo agenţie de spionaj găsesc o modalitate pentru a exploata această uşă lăturalnică şi să introducă programe virusate de tip malware în milioane de dispozitive Xiaomi în doar 24 de ore?

În mod ironic, dispozitivele se conectează şi primesc update-uri prin conexiunea HTTP expunând întregul proces atacurilor de tipul “Man-in-the-Middle.

“Acest lucru, pentru mine, reprezintă o vulnerabilitate din moment ce ei [compania sau hackerii] au IMEI-ul şi Device Model-ul tău, şi pot instala în mod specific orice APK pe dispozitivul vostru”, a adăugat Broenink.

Chiar şi pe forumul de discuţii al Xiaomi, mai mulţi utilizatori şi-au manifestat temerile în legătură cu existenţa acestui APK misterios şi cu privire la rolul său.

“Nu ştiu care este scopul său. Chiar după ce îl şterg, fişierul reapare după ceva timp”, a scris un utilizator.

Un altul a declarat: “Dacă intru la battery usage app, această aplicaţie este întotdeauna deasupra. Cred că îmi consumă resursele telefonului”.

Ca o soluţie temporară la această dilemă, utilizatorii smartphone-urilor Xiaomi pot bloca toate conexiunile către domeniile legate de Xiaomi prin utilizarea aplicaţiei pentru firewall.

Declaraţie oficială din partea Xiaomi

Un purtător de cuvânt al Xiaomi a oferit pentru The hacker News o declaraţie oficială privind afirmaţiile făcute de Thijs Broenink în legătură cu uşa lăturalnică ce permite hackerilor, precum şi companiei Xiaomi, să instaleze în secret orice aplicaţie asupra a milioane de dispozitive afectate: “AnalyticsCore este o componentă incorporată a sistemului MIUI ce este folosită de alte componente MIUI pentru analizarea datelor în vederea îmbunătăţirii experienţei utilizatorului, precum MIUI Error Analytics”.

Deşi compania nu a negat sau comentat ceva despre abilitatea aplicaţiei de a instala automat pe dispozitivul vostru orice altă aplicaţie fără a interacţiona cu dumneavoastră, purtătorul de cuvânt a clarificat faptul că, hackerii nu vor fi capabili să exploateze această funcţie de “auto-actualizare”.