[[335192]] 

研究人員上周四在大疆無人機開發(fā)的安卓App中發(fā)現(xiàn)了多個安全漏洞，App的自動更新機制可以繞過谷歌應(yīng)用商店，并用來安裝惡意應(yīng)用和傳輸敏感個人信息到大疆的服務(wù)器。

網(wǎng)絡(luò)安全公司Synacktiv和GRIMM的兩份報告顯示，大疆無人機Go 4安卓應(yīng)用程序不僅要求一些額外的權(quán)限，也會收集IMSI、IMEI、SIM卡序列號等個人數(shù)據(jù)，其中使用了反調(diào)試和加密技術(shù)來繞過安全分析。這種機制于惡意軟件使用的C2服務(wù)器是非常類似的。考慮到Go 4安卓應(yīng)用程序請求了聯(lián)系人、麥克風(fēng)、攝像頭、位置、存儲、修改網(wǎng)絡(luò)連接的權(quán)限，大疆和微博服務(wù)器幾乎可以完全控制用戶的手機。

從谷歌應(yīng)用商店的數(shù)據(jù)來看，Go 4的下載安裝量超過100萬。研究人員在App中發(fā)現(xiàn)的漏洞并不影響iOS 版本。

自更新機制

研究人員逆向了Go 4 App后發(fā)現(xiàn)了有個URL——hxxps://service-adhoc.dji.com/app/upgrade/public/check，該url被用來下載應(yīng)用更新和提醒用戶授權(quán)安裝未知應(yīng)用的權(quán)限。

研究人員修改了url中的請求來出發(fā)任意應(yīng)用的更新，發(fā)現(xiàn)首先會提醒用戶允許安裝非可信的應(yīng)用，然后在更新安裝完成之前攔截用戶使用應(yīng)用。

這直接違反了谷歌應(yīng)用商店的規(guī)則，攻擊者還可以入侵更新服務(wù)器然后用惡意應(yīng)用更新來攻擊用戶。此外，App在關(guān)閉后仍然可以在后臺運行，并使用Weibo SDK ("com.sina.weibo.sdk") 來安裝任意下載的App。GRIMM稱并沒有發(fā)現(xiàn)任何漏洞被利用來安裝惡意應(yīng)用攻擊用戶的證據(jù)。

此外，研究人員還發(fā)現(xiàn)App利用了MobTech SDK來竊取手機的元數(shù)據(jù)，包括屏幕大小、亮度、WLAN地址、BSSID、藍牙地址、IMEI和IMSI號、運營商名稱、SIM序列號、SD卡信息、操作系統(tǒng)語言和kernel版本，以及位置信息。

大疆回應(yīng)

大疆回應(yīng)稱相關(guān)研究結(jié)果與美國國土安全局等的報告是相悖的，美國國土安全局的報告稱沒有證據(jù)表明政府和企業(yè)用的大疆APP存在數(shù)據(jù)傳輸連接。此外，目前也沒有證據(jù)表明漏洞被利用。在未來的版本中，用戶可以從谷歌應(yīng)用商店下載官方App版本，如果用戶使用的是非授權(quán)(破解)的版本，那么處于安全原因App將會被禁用。

去年5月，國土安全部發(fā)出警告稱，使用大疆無人機商業(yè)用戶的數(shù)據(jù)可能處于危險中，因為大疆無人機中包含有可以入侵其數(shù)據(jù)的組件，并且可以在服務(wù)器上分享信息。