Xiaomi obrywa od Google Play Protect. Firma przesadziła ze śledzeniem (aktualizacja)

Zablokowane narzędzie to Quick Apps, będące chińskim odpowiednikiem Google Play Instant. Pozwala wypróbować wybrane aplikacje przed instalacją. Przynajmniej w teorii, bo w praktyce nie działa w regionie europejskim, pozostając jednak niemożliwym do bezpośredniego usunięcia bloatware'em. Ci bardziej świadomi wyłączają proces przez ADB (Android Debug Bridge) i zapominają o jego istnieniu. U reszty po prostu wisi w tle.

Przy czym narzędzie ma jeszcze jedną, mniej pożądaną możliwość: służy do dystrybucji reklam. Co gorsza, jak wynika z ujawnionych informacji, wymaga dokładnie 55 różnych uprawnień. Może m.in. zbierać numery IMEI i kart SIM, informacje o sieci komórkowej, dane użytkownika z rozmaitych serwisów trzecich, a nawet rejestrować dźwięk i obraz.

Wszystko zapisuje w pamięci tymczasowej i przesyła do serwerów producenta—a to wyłapał algorytm Google Play Protect, który ostatecznie zablokował szkodnika.

XIaomi póki co nie chce komentować zaistniałej sprawy. Ciężko jednak nie ulec wrażeniu, że wkrótce będzie musiało to zrobić. Temat jest w dwójnasób palący. Z jednej strony Google obiecuje zaostrzyć metody walki z malware'em w Sklepie Play, z drugiej zaś – rząd USA usilnie poszukuje dowodów na nadmierną telemetrię w elektronice z Chin. Oto ma, czego chce.

Korzystając z okazji, jaką stworzył użytkownik @Domker podrzucając raport z inżynierii wstecznej aplikacji Quick Apps, zagrożeniu można przyjrzeć się nieco bliżej. A jest co analizować, bo narzędzie wygląda niczym prawdziwy kombajn telemetryczny. I nie hiperbolizuję. Co jednak ciekawe, rzeczony dokument pochodzi z 11 kwietnia 2019, ale z jakiegoś powodu nikt się nim wówczas szerzej nie zainteresował. Tak, dobreprogramy również, za co szczerze biję się w pierś.

Jak się okazuje, sfera zagrożeń znacznie wykracza poza 55 już wspomnianych uprawnień. Choć już one same właściwie pogrążają producenta. Są tam takie smaczki jak pobieranie plików w tle bez jakiegokolwiek monitu, pełen dostęp do zawartości pamięci masowej czy nagrywanie rozmów i wideo. Créme de la créme sztuki inwigilacji. Jednak to dopiero zalążek.

Badacze zwracają uwagę na wykorzystanie w certyfikacie Quick Apps algorytmu RSA-SHA1, o którym wiadomo powszechnie, że jest podatny na ataki kolizyjne. Tłumaczę, o co chodzi: każda apka na Androida wymaga podpisania certyfikatem, który pełni rolę poświadczenia autorstwa. Upraszczając, w tej konkretnej sytuacji potencjalny napastnik ma możliwość odtworzenia certyfikatu (właściwie to wartości funkcji haszującej) Xiaomi i podszycia się pod firmę, co grozi podłożeniem w tle innego, w ogóle nieznanego kodu.

Przy czym akurat tę kwestię można rozpatrywać w kategorii niedopatrzenia. Gdyby Xiaomi chciało podrzucić coś użytkownikowi, użyłoby ukrytego instalatora, który dziedziczy od Quick Apps uprawnienia i może przepchnąć do pamięci masowej dowolną, nawet niepodpisaną apkę. Instalator nie wykonuje jakiejkolwiek weryfikacji metadanych. Wrzuci to, co mu podano.

Jakby tego było mało, zebrane dane są zapisywane do bazy danych SQL w formie surowych zapytań. Raz, że w ogóle są zapisywane, co samo w sobie stanowi powód do ostrej krytyki, a dwa – tego rodzaju podejście otwiera kolejne drzwi przed przestępcami. Mowa oczywiście o ataku metodą SQL Injection, polegającego – w dużym skrócie – na modyfikacji zapytań w złośliwym celu.

Niestety, zgodnie z przedstawionymi dowodami, nie mogą czuć się bezpiecznie wszyscy ci, którzy nie mają konta Mi Account. Mając do czynienia z użytkownikiem niezalogowanym, Quick Apps samoistnie tworzy profil gościa. I zapisuje tam adres MAC karty sieciowej, a także identyfikatory modułu Bluetooth i instancji Androida. Z tymi następnie kojarzone są skolekcjonowane informacje, więc nie ma mowy o jakiejkolwiek anonimizacji danych.

Główy autor analizy, Gagan Jain Bommaiah Satish, podejrzewa, że Xiaomi stosuje zaawansowany system reklamowy. Tropy prowadzą do chmury opartej na Apache Druid, które jest centrum danych stworzonym z myślą o analizie dużych zbiorów. Bazując na informacji o odwiedzanych witrynach, pobieranych apkach, powiązanych osobach czy odwiedzanych ostatnio miejscach, producent może perfekcyjnie dopasować wyświetlane reklamy do charakterystyki użytkownika.

Niemniej jednak, nawet przyjmując hipotezę o reklamach za pewnik, bez wątpienia posunięto się zbyt daleko. Tym bardziej, że aplikacja Quick Apps nie tylko sama w sobie jest niebezpieczna, ale także może posłużyć jako wektor zupełnie innych ataków.

*(2019.11.19; 13:10)*Z redakcją skontaktował się przedstawiciel Xiaomi Polska. Firma deklaruje, że jest świadoma blokady ze strony Google Play Protect, aczkolwiek narzędzie Quick Apps konsekwentnie uważa za całkowicie bezpieczne. Nie komentuje kwestii nadmiarowości przyznawanych uprawnień ani oczywistych luk w kodzie. Oto pełna treść przesłanego oświadczenia: