爆料:安卓“间谍门”事件愈演愈烈,又有一家中国公司被曝在300万台安卓设备中植入rootkit

blackhold 2016-11-21 16:19:25

今年11月15日左右,美国多家媒体爆料上海广升信息技术有限公司开发的预装软件存在后门,会每隔72小时就把你所有的短信都发送到中国,这种软件监视用户去过哪里,他们与什么人聊过天,他们在短信中写了什么等。这次爆料也使得广升陷入了“间谍门“事件,但是事情还没结束。

11月17日左右,AnubisNetworks的CTO(João Gouveia)和BitSight的安全研究人员(Dan Dahlberg)发现锐嘉科集团有限公司生产的Android设备存在Rootkit(隐蔽性恶意软件)。这家公司提供移动智能终端整机方案服务,而且它也来自上海!从这家公司的官网描述来看,锐嘉科“提供工业设计、结构设计、硬件设计、软件设计、生产制造、测试、QA的全套移动终端解决方案;提供产品预研、海外智能产品研发、国内大客户产品研发、自有品牌研发等服务”。

300万台安卓设备植入RootKit

根据研究报告声称,已经有三百万台安卓设备被预装了该恶意软件。安装该恶意软件的设备可被黑客进行中间人攻击,并且以root权限执行任意代码以此来获得对Android设备的绝对控制权,其主要原因是因为设备在OTA更新的时候没有采取严格的加密措施导致的。

两位研究人员从Best Buy官网购买了一部BLU Studio G安卓手机,在研究人员才配置好抓包系统后,很快一条未加密的连接就出现在了屏幕上,该连接指向了oyag.lhzbdvm.com。

然后,该设备又尝试和两个未被注册的域名进行通讯。对的,你没看错,锐嘉自己开发的代码居然和两个未被注册的域名进行了通讯。安全研究人员很快就注册了这两个域名,而这个步骤,也是研究人员获取到全球感染该rootkit数量的关键步骤。

根据研究报告所述,这个OTA机制包含一个隐藏的二进制文件,该文件驻留在/system/bin/debugs,并且是以root权限运行来建立和三个域名的连接,并且没有对其发出的HTTP数据包进行加密。

这个高权限的二进制文件不仅造成了中间人漏洞,还充当rootkit的角色,允许攻击者以root权限进行任意代码执行。CERT的顾问表示,这个二进制文件还采用了多种方式来隐藏自己的进程,因此才将它称为一个rootkit。

该报告声称,这个rootkit包含在多数锐嘉的设备和供应商的设备上。以下为感染列表。

BLU Studio G

BLU Studio G Plus

BLU Studio 6.0 HD

BLU Studio X

BLU Studio X Plus

BLU Studio C HD

Infinix Hot X507(某主攻欧洲、非洲市场的国产品牌)

Infinix Hot 2 X510

Infinix Zero X506

Infinix Zero 2 X509

DOOGEE Voyager 2 DG310

LEAGOO Lead 5

LEAGOO Lead 6

LEAGOO Lead 3i

LEAGOO Lead 2S

LEAGOO Alfa 6

IKU Colorful K45i

Beeline Pro 2

XOLO Cube 5.0

根据统计,目前受到此rootkit感染的安卓设备数量超过280万台。在研究人员分析完二进制文件,并且根据刚刚注册的两个域名搭建好服务器后,迅速由超过百万的设备连接到服务器。

到目前为止,BLU Products公司发布了一个软件更新来修复该漏洞,目前暂时不知该更新是否能够修复这个漏洞,研究人员也尚未进行测试。但是,其余的Android设备可能仍然这个Rootkit的受到影响。

FB小编认为,这次的中国安卓设备“间谍门“事件越演越烈,或许将会影响到中国到欧美地区的国际业务,而美国政府很有可能会加大对中国互联网产品的安全检测。

如果想了解详细的报告,你可以访问《锐嘉科RootKit详细事件分析》