摘要:研究人员上周四在大疆无人机开发的安卓 App 中发现了多个安全漏洞,App 的自动更新机制可以绕过谷歌应用商店,并用来安装恶意应用和传输敏感个人信息到大疆的服务器。网络安全
研究人员上周四在大疆无人机开发的安卓 App 中发现了多个安全漏洞,App 的自动更新机制可以绕过谷歌应用商店,并用来安装恶意应用和传输敏感个人信息到大疆的服务器。
网络安全公司 Synacktiv 和 GRIMM 的两份报告显示,大疆无人机 Go 4 安卓应用程序不仅要求一些额外的权限,也会收集 IMSI、IMEI、SIM 卡序列号等个人数据,其中使用了反调试和加密技术来绕过安全分析。这种机制于恶意软件使用的 C2 服务器是非常类似的。考虑到 Go 4 安卓应用程序请求了联系人、麦克风、摄像头、位置、存储、修改网络连接的权限,大疆和微博服务器几乎可以完全控制用户的手机。
从谷歌应用商店的数据来看,Go 4 的下载安装量超过 100 万。研究人员在 App 中发现的漏洞并不影响 iOS 版本。
自更新机制
研究人员逆向了 Go 4 App 后发现了有个 URL —— hxxps://service-adhoc.dji.com/app/upgrade/public/check,该 url 被用来下载应用更新和提醒用户授权安装未知应用的权限。
研究人员修改了 url 中的请求来出发任意应用的更新,发现首先会提醒用户允许安装非可信的应用,然后在更新安装完成之前拦截用户使用应用。
这直接违反了谷歌应用商店的规则,攻击者还可以入侵更新服务器然后用恶意应用更新来攻击用户。此外,App 在关闭后仍然可以在后台运行,并使用 Weibo SDK ( com.sina.weibo.sdk ) 来安装任意下载的 App。GRIMM 称并没有发现任何漏洞被利用来安装恶意应用攻击用户的证据。
此外,研究人员还发现 App 利用了 MobTech SDK 来窃取手机的元数据,包括屏幕大小、亮度、WLAN 地址、BSSID、蓝牙地址、IMEI 和 IMSI 号、运营商名称、SIM 序列号、SD 卡信息、操作系统语言和 kernel 版本,以及位置信息。
大疆回应
大疆回应称相关研究结果与美国国土安全局等的报告是相悖的,美国国土安全局的报告称没有证据表明政府和企业用的大疆 APP 存在数据传输连接。此外,目前也没有证据表明漏洞被利用。在未来的版本中,用户可以从谷歌应用商店下载官方 App 版本,如果用户使用的是非授权(破解)的版本,那么处于安全原因 App 将会被禁用。
去年 5 月,国土安全部发出警告称,使用大疆无人机商业用户的数据可能处于危险中,因为大疆无人机中包含有可以入侵其数据的组件,并且可以在服务器上分享信息。
更多技术分析参见:
https://www.synacktiv.com/en/publications/dji-android-go-4-application-security-analysis.html
https://blog.grimm-co.com/2020/07/dji-privacy-analysis-validation.html
相关文章推荐
新网新人专享,注册领SSL证书百元神券2022-09-15
新网与亚洲诚信达成战略合作,携手共建安全云生态2022-09-06
企业网站没有SSL证书,你将面临......2022-09-27
SSL协议、TLS协议,有什么区别?2022-09-26
网站跳出率高?可能是没装SSL证书2022-09-26