來自移動安全公司 Lookout 的研究人員最近發(fā)現(xiàn)，不少 Android 平臺的合法 App 所用的廣告 SDK 會秘密竊取用戶數(shù)據(jù)，這款惡意廣告 SDK 就來自中國，而 App 竊取到的數(shù)據(jù)則會發(fā)往國內(nèi)的服務(wù)器。這其實已經(jīng)不是國內(nèi)的廣告商第一次出現(xiàn)這種情況了。

包含惡意 SDK 的 App 下載量過億次

這款廣告 SDK 來自國內(nèi)一家名為 Igexin（個信）的公司，從 Lookout 的報告來看，超過 500 款 App 中用了該 SDK。而且這些 App 就位于谷歌的官方應(yīng)用商店 Play Store 中，應(yīng)用下載總量超過 1 億次。

Lookout 表示他們最早發(fā)現(xiàn)某些手機會下載已知惡意程序樣本，并向 Igexin API 服務(wù)器發(fā)出請求，所以就開始追蹤 Igexin SDK 了。研究人員觀察到某個 App 向

hxxp://sdk[.]open[.]phone[.]igexin.com/api.php 的 REST API 發(fā)出一系列請求后，開始下載大型文件，而且文件是加密的。上面這個域名就是 Igexin 的廣告 SDK。

Lookout 認(rèn)為，一般來說，某個合法 App 安裝完成后，會有這種動作的都是在下載惡意代碼——這種方式通常具有躲避檢測的能力。下載加密文件，以及在 com.igexin 命名空間向 dalvik.system.DexClassLoader（用于加載來自 .jar 或 .apk 文件的類）的調(diào)用，的確足以引起研究人員的懷疑：顯然是在隱藏 payload。在持續(xù)數(shù)月的調(diào)查后，研究人員發(fā)現(xiàn)，Igexin 會給合法 App 發(fā)送惡意命令。

Lookout 基于這些合法 App 在安裝期間向用戶請求的權(quán)限觀察到，Igexin SDK 能夠收集用戶設(shè)備上的各種數(shù)據(jù)，不過絕大部分是通話日志記錄，包括通話時間、通話的電話號碼、通話狀態(tài)。這些數(shù)據(jù)都會以 HTTP 請求的方式發(fā)往 hxxp://sdk[.]open[.]phone[.]igexin.com/api.php 端點。

值得一提的是，并非所有版本的 Igexin 廣告 SDK 都有惡意行為。而惡意版本會執(zhí)行某個插件框架，可讓客戶端加載任意代碼——針對 hxxp://sdk[.]open[.]phone[.]igexin.com/api.php 的 REST API 端點請求響應(yīng)。

來自該端點的請求和響應(yīng)，都是編碼過的 JSON 數(shù)據(jù)。上面這張圖就是來自該 API 的解碼響應(yīng)，引導(dǎo)客戶端下載并執(zhí)行 2 個加密 JAR 文件中的代碼。基于從服務(wù)器接收到的響應(yīng)，SDK 會對文件進(jìn)行解密 —— API 調(diào)用提供密鑰，并存儲在設(shè)備上。隨后再采用 Android 系統(tǒng)的 dalvik.system.DexClassLoader 和反射來加載來自 JAR 文件的某個類。

下載類中的插件功能完全可以由遠(yuǎn)程運營者決定，隨時都可以發(fā)生變化。在遠(yuǎn)程 API 請求發(fā)出之后，用戶和 App 開發(fā)者實際上都控制不了其執(zhí)行。可能存在的唯一限制就是 Android 的權(quán)限授予了。不過就 Lookout 的觀察來看，其行為都是收集上面提到的通話記錄信息。

個信官網(wǎng)對公司產(chǎn)品的介紹

谷歌已經(jīng)移除這些 App

Lookout 隨后聯(lián)系了谷歌和被感染 App 的開發(fā)者。谷歌很快禁止了這些 App 的傳播，等待開發(fā)者進(jìn)行 App 更新后方可上架。

不過 Lookout 并沒有指明究竟是哪些 App 包含 Igexin SDK，畢竟這不是 App 開發(fā)者的錯。但 Lookout 提供了下面這張列表，提及分別有哪些類別的 App 被感染：

針對青少年的游戲（其中 1 款下載量達(dá)到 5000萬 – 1億次）

天氣 App （其中 1 款下載量 100 – 500 萬次）

互聯(lián)網(wǎng)電臺 （50 萬 – 100 萬次）

圖片編輯工具（100 – 500 萬次）

教育、健康與瘦身、旅行、表情、家用視頻攝像頭 App

生成海報

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進(jìn)一步核實，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。