Popularna aplikacja do dronów mogła przekazywać dane chińskiemu rządowi

Chiński DJI to największy producent komercyjnych dronów. Aplikacja DJI Go 4 w tym momencie może poszczycić się milionem pobrań ze sklepu Google Play Store, aczkolwiek portal Ars Technica szacuje, że liczba ta może wynosić aż 5 mln.

Badacze zabezpieczeń z Synactive i Grimm wykryli w niej dziwne zachowanie, które może niepokoić. Po pierwsze twórcy aplikacji nie zastosowali się do zasad prywatności Google, a do niedawna aplikacja zbierała cały szereg wrażliwych danych o użytkownikach, który trafiał do serwerów w Chinach.

Ponadto DJI Go 4 pozwala na ręczne wywoływanie poleceń ze strony deweloperów, co może prowadzić do zainstalowania dowolnej aplikacji/aktualizacji na telefonie, także spoza sklepu Play.

Co więcej program do niedawna zbierał informacje o telefonie takie, jak IMEI, IMSI, nazwę operatora sieci, a także numer seryjny karty SIM i wiele innych. Następnie te dane trafiały do firmy MobTech, zajmującej się tworzeniem zestawów oprogramowania.

Na dodatek eksperci z Synactive ustalili, że twórcy DJI Go 4 użyli zaawansowanych technik maskowania tak, aby utrudnić analizę aplikacji. Według specjalistów przypominały one zabiegi, z jakich korzystają twórcy złośliwego oprogramowania.

Z racji tego, że DJI Go 4 korzysta z wielu pozwoleń, na m.in. dostęp do kontaktów, mikrofonu, kamery, lokacji, pamięci wewnętrznej i możliwości zmiany sieci - takie zachowanie aplikacji budzi obawy. Według grupy Grimm, dane mogły trafiać do chińskich organizacji rządowych.

Trzy lata temu amerykańska armia zakazała używania dronów produkcji DJI, ale powody pozostały utajnione. Rzecznik firmy Google zapowiedział, że firma przyjrzy się raportom na temat szkodliwości aplikacji DJI Go 4.