GO Keyboard podsłuchuje użytkowników Androida i instaluje im podejrzany kod

Badacze z firmy Adguard ostrzegają, że popularna androidowaklawiatura GO Keyboard to spyware. Analizując generowany przezaplikację ruch sieciowy, ustalili, że GO Keyboard nie tylkoprzesyła na chińskie serwery wrażliwe dane swoich użytkowników,ale też korzysta z zakazanych przez Google metod do pobieranianiesprawdzonego kodu wykonywalnego.

Adguard prowadził szeroko zakrojone badania dotyczących ruchusieciowego oraz niepożądanych zachowań różnych klawiatur naAndroida. Aplikacja rozwijana przez firmę jest bowiem nie tylkoblokerem reklam, ale też filtrem sieciowym, z wbudowanym firewallemi zabezpieczeniami antyphishingowymi. Właśnie logi tej aplikacjiujawniły, że GO Keyboard nawiązuje podejrzanej połączenia zserwerami w Chinach, wykorzystuje mechanizmy trackingowe i przesyładane osobowe użytkowników.

Sprawa jes to tyle poważna, że GO Keyboard należy donajbardziej znanych i popularnych klawiatur na Androida odniezależnych dostawców – szczególnie popularna jest wśródmłodych ludzi, doceniających szeroką gamę dostępnych dla niejskórek i naklejek. Obie wersje tej dostępnej w Google Playklawiatury (Emoji i Emoticon) mają łącznie co najmniej 200 mlnużytkowników i bardzo dobre oceny, odpowiednio 4,5 i 4,4,regularnie też dostają aktualizacje.

Oczywiście deweloperzy GO Keyboard zapewniają o bezpieczeństwieswojej aplikacji, pisząc w swojej polityce prywatności, że nigdynie będą zbierać danych osobowych, w szczególności informacji okartach kredytowych czy innych wpisywanych za pomocą klawiaturytreści. Nijak się to ma do poczynionych przez badaczy Adguardaobserwacji – nawiązywaniem połączeń z nieznanymi serwerami, naktóre przesyłane mają być takie dane jak adres konta Googleużytkownika, numer IMSI, lokalizacja, typ sieci, rozmiar ekranu,wersja systemu i model urządzenia – czyli coś, co explicite jestzakazane przez politykę Google’a, opisaną w Centrum zasad dlaprogramistów, w sekcji Prywatnośći zabezpieczenia.

To jednak nie wszystko. GO Keyboard ma otwartą architekturę,pozwalającą na uruchamianie w programie wtyczek. Wtyczki te jednaknie pochodzą z oficjalnego sklepu, lecz z serwera producenta. Takiezachowanie jest również zakazane przez Centrum zasad dlaprogramistów, które pozwala jedynie na pobieranie z innych źródełbinarnych plików z zasobami (.obb). Natywny kod, pliki wykonywalne.dex, to wszystko musi być pobierane z Google Play. Wygląda to napróbę ominięcia skanerów antywirusowych Google Play, niektóre zwtyczek klawiatury GO rozpoznawane są jakotrojany.

Adguard przekazało już swoje odkrycia do Google, jednakklawiatura póki co wciąż znajduje się w sklepie Play. Jeśli zniej korzystacie, zalecamy szybkie jej odinstalowanie. Biorąc poduwagę szerokie uprawnienia aplikacji, w praktyce ta klawiatura możezrobić użytkownikowi wszystko, służyć nie tylko jako spyware,ale też narzędzie zdalnego dostępu.

Odkrycie pokazuje zarazem, jak istotne są niezależne rozwiązaniaprywatności, takie jak np. moduł Xprivacy frameworka Xposed. Jeśliużytkownik nie może selektywnie kontrolować tego, co danaaplikacja może robić na jego urządzeniu, to w praktyce nie jest tojego urządzenie. Są co prawda dobre powody, dla których klawiaturamogłaby mieć dostęp do Internetu, ale decyzja w tej sprawiepowinna zawsze należeć do użytkownika.

Dotychczasowych użytkownikom klawiatury GO Keyboard zapraszamy donaszego działu Android > Personalizacja > Klawiaturyi wypróbowanie dostępnych tam aplikacji.