美国部分Android手机竟将用户隐私数据回传至上海服务器!
美国出售的Android手机,居然会将用户的个人数据传回到中国上海的服务器?今天美国大量安全媒体就报道了这样一件事,美国人民听来大概是非常惊悚的!Kryptowire安全公司的专家发现美国在售某些品牌的Andriod手机的固件中存在后门,可在未经用户允许的情况下,将个人数据传输至中国服务器,包括短信全文、联系人、通话记录等信息。美国主要受这一固件影响的手机品牌为BLU,目前在Amazon和Best Buy上有售。
顺带一提,发布这份报告的Kryptowire公司,是由美国国防高级研究计划局 (DARPA) 和国土安全部 (DHS) 联合投资的公司,主要为美国国防、军事、情报机构提供移动应用程序的安全性分析、企业级移动设备安全解决方案等服务。这家公司都出动了,可见问题严重性。
短信和联系人都回传到上海服务器
Kryptowire在报告中说,他们针对固件的代码和网络都进行了分析:从事这种行为监测的乃是某种商业FOTA升级软件系统——那些受影响的Android设备都搭载了这一系统。这套系统就是来自上海广升技术有限公司(Shanghai Adups Technology Co. Ltd)。
这里的Adups上海广升信息技术有限公司成立于2012年,主要业务范围是移动软件管理(MSM)领域和FOTA平台。
“Kryptowire已经发现了多个受影响的Andriod手机型号,其中包括使用最为广泛的 BLU R1 HD”。据报告所说,“这个后门会将用户短息、联系人、通话记录、国际移动用户识别码(IMSI)和国际移动设备识别码(IMEI)等在用户不知情的情况下全部传给中国服务器。”
而且收集的信息还经过了多层加密,比如短信内容采用DES加密,再“通过安全web协议发往位于上海的服务器。此软件和信息手机行为能够绕过了移动反病毒工具的检测——反病毒工具原本就认为预装的软件并非恶意程序,也就列入白名单了。”
报告中提到,上海广升所推的固件进行数据收集和发送的两个系统程序为com.adups.fota.sysoper和com.adups.fota,每隔72小时就会回传短信全文和通话记录,每隔24小时发送其他个人识别信息。
上述数据被发送到以下四个域名:
bigdata.adups.com
bigdata.adsunflower.com
bigdata.adfuture.cn
bigdata.advmob.cn
这几个域名指向同一IP地址221.228.214.101,这个地址即属于上海广升。在数据传输之前,设备还会通过REST API与远程服务器进行check-in登记,确认需要收集的信息。上传至bigdata.adups.com的文件列表如下:
其固件覆盖超过7亿用户
SecurityAffairs在报道中认为,上海广升将这个后门嵌入固件中,主要目的还是广告和商业用途。不过Kryptowire已把这一发现上报了美国政府。美国国土安全部发言人Marsha Catron甚至表示,国土安全部“最近获悉了Kryptowire发现的问题,正在与我们的公共和私营部门合作伙伴一起确定适当的缓解策略。
上海广升其实也为中国的一些巨头公司提供同样的固件更新服务,像是华为和ZTE,不过并未公布更多手机制造商合作伙伴。早在今年7月份,上海广升曾在其官网宣布全球范围内的活跃用户量达到7亿,在超过150个国家和地区逾70%的市场份额,办公室则覆盖了上海、深圳、北京、东京、新德里、迈阿密;此外,其固件已经触及到了超过400家移动运营商、半导体制造商和设备制造商,设备类型则涵盖可穿戴、移动设备、汽车以及电视。
其法人代表在接受纽约时报采访时明确表示他们并没有为政府收集数据。
“广升只是一个不小心犯了错的私企。”这家公司的律师Lily Lim说。
“在中国的技术公司都需要遵循严格的规则来经营。 Lily Lim声明上海广升是不附属于中国政府的。”纽约时报报道。
- 参考来源:Kryptowire,FB小编孙毛毛编译,转载请注明来自FreeBuf.COM
本文转自d1net(转载)
美国部分Android手机竟将用户隐私数据回传至上海服务器!相关推荐
- 微信小程序用户隐私数据解密
我们在获取到小程序的加密数据后,首先做的是校验数据,校验通过后进行数据的解密 一.新建隐私数据解密工具类--WXBizDataUtil /*** @Author: zp.wei* @DATE: 202 ...
- android数据线接口定义,制作Android手机可连接普通键盘的数据转接线
在上一篇" 现在市面上的Android手机和Android平板电脑基本上都支持USB OTG技术.这种技术将允许用户将手机或平板电脑通过usb2.0数据线连接到标准USB键盘和鼠标,甚至普通 ...
- 微软谷歌等力挺Facebook保护用户隐私数据
近日纽约地方检察官办公室(NYDA)以政府调查为由,要求Facebook提交381位用户的隐私数据,此举遭到Facebook的强烈反对.随后,这场"隐私保卫战"上升为科技公司对战政 ...
- Android 手机获取加速度传感器加速度数据并自定义采样频率
原文链接:http://blog.csdn.net/llp1992/article/details/41786865 因为项目需要利用到了Android手机中的加速度传感器来获取三个加速度轴的加速度大 ...
- 黑莓 Android 手机竟无任何自家服务?
黑莓计划推出一款运行 Android 操作系统的智能手机,最大的特点就是带有侧滑全键盘.今天早上突然又有了一张所谓的渲染图出来,表示该机子的代号就是 BlackBerry Venice(威尼斯),并确 ...
- Android手机QQ的UI自动化实践,音视频服务器开发难点
在上一步环节中,我们虽然确定了自动化框架,但是框架只提供底层的驱动能力,如果无统一封装模式进行规范,随着用例的增多会变得难以维护,所以我们需要一个统一模式来封装细节,可以使 testcase 更稳健, ...
- Android手机蓝牙互联,并传递数据。
今晚整理下,实验室没开门,只好在一教将就一下了 关于蓝牙,看了好些天,但是看完后想想也没啥,都是谷歌做好了的东西,我们只要用用API就ok了,哎. 首先,如果是互相传递数据的,两部android设备各 ...
- 携程、途牛、同程、飞书等21款APP因侵犯用户隐私数据被通报
大数据产业创新服务媒体 --聚焦数据 · 改变商业 数据猿报道 近期,国家计算机病毒应急处理中心在"净网2020"专项行动中通过监测发现,包括途牛旅游.同程旅游.自如.巴乐兔租房. ...
- Android 手机静态IP连接局域网访问局域网电脑Web服务器
移动网页网站编程需要进行测试.测试手段可以采用模拟器,也可以采用真实设备测试.本文给出采用真实设备的网页网站编程测试方法. 移动设备连接网络一般有移动蜂窝网和WIFI两种实现方式.移动蜂窝网络连接方式 ...
最新文章
- iOS arm 64 的了解
- Visual Studio 2008/.NET Framework 3.5 WinForm窗体运用程序发布(部署)
- 按15分钟取数据_【数量技术宅|金融数据分析系列分享】套利策略的价差序列计算,恐怕没有你想的那么简单...
- Python(11):正则表达式
- 中文格式_常见中文编码格式
- Bootstrap中的下拉列表
- 什么是MCU里应尽量遵循的寄存器谨慎赋值法?
- linux账户初始化文件,Linux启动初始化配置文件浅析
- bestcoder #66
- asm.js性能提升,让游戏飞起来
- 返回数组指针或引用。
- 万能html5视频播放器安卓,XPlayer万能视频播放器
- (附源码)python房屋租赁管理系统 毕业设计 745613
- Unmapped Spring configuration files found.
- php自动播放mp3,html5实现背景音乐的自动播放
- ACwing 149. 荷马史诗
- Windows server DHCP服务器搭建
- 二次开发 uiautomatorviewer
- 美女,僧人,腐尸,菩萨美女
- 教你玩转Word教程-刘青-专题视频课程
热门文章
- 进fastreboot
- jQuery中deferred对象的使用(二)
- 使用Genymotion调试出现错误INSTALL_FAILED_CPU_ABI_INCOMPATIBLE解决办法
- 业务系统实现记住密码和自动登录功能
- Cloudera Manager 5 和 CDH5 本地(离线)安装指南(Hadoop集群搭建)
- Eclipse中修改tomcat内存大小
- UVA11054Gergovia的酒交易
- hdu1255 扫描线,矩形重叠面积(两次以上)
- hdu4923 f(A,B)分段处理
- 【Groovy】Groovy 方法调用 ( 字符串切割 | 使用 Java 语法切割字符串 | 使用 Groovy 语法切割字符串直接为变量赋值 | 数组赋值给变量 变量个数小于等于数组长度 )