Uma equipa de investigadores sediada no estado de Virgínia descobriu que mais de 700 milhões de smartphones android têm software de vigilância activado para detectar movimentos e comunicações do utilizador.
Descoberto por investigadores da Krptowire, este firmware é da autoria da startup chinesa Shanghai Adups Technology Company e foi detectado principalmente em telefones descartáveis e pré-pagos. Acredita-se que uma empresa fabricante chinesa não identificada terá pago à Shanghai Adups por este trabalho.
Segundo os investigadores da Cyberscoop, o software malicioso estava tão bem dissimulado que era quase impossível de detectar. Ainda não é claro se esta "porta traseira" foi concebida integrada numa operação de espionagem para desviar dados, ou se os seus autores pretendiam coleccionar dados com objectivos comerciais.
O tráfego era encriptado várias vezes e os servidores eram usados também como elementos processuais de verificação e actualização, segundo o Vice-Presidente da Kryptowire, Tom Karygiannis.
Mesmo se um utilizador médio pudesse dar conta do tráfego, não seria capaz de se aperceber da sua proveniência. Dado que o mesmo domínio era usado para actualizações de firmware, seria fortemente improvável que utilizadores ou fornecedores de serviço internet reconhecessem o tráfego como transmissão de informação pessoal identificável, por estar camuflada como parte do processo de actualização/verificação, nas palavras de Karygiannis.
Os investigadores descobriram que o firmware da Adups transmitia pacotes de dados para um servidor chinês todas as 72 horas. Estes pacotes de dados continham logs das chamadas, mensagens escritas,listas de contactos. localização GPS e outros dados.
O Department of Homeland Security [segurança interna americana] foi recentemente alertado das descobertas e das preocupações da Kryptowire e está a trabalhar com os seus parceiros públicos e privados, com o escopo de identificar e contrapôr as medidas adequadas, disse a porta-voz do DHS, Marsha Catron. Também encorajamos todos os americanos a tomar precauções para assegurar a segurança dos seus dados e informação pessoal, incluindo o uso de passwords fortes, a manutenção actualizada do software anti-virus e a minimização da quantidade de dados pessoais compartilhados online, acrescentou.
De acordo com o site oficial das startups chinesas, entre os clientes da Adups estão dois dos maiores fabricantes de telemóveis da China: a ZTE e a Huawei e a americana BLU Products, que disse ao New York Times que 120 mil dos seus telefones foram afectados, mas que a actualização subsequente do seu software eliminará o problema.
Os executivos da Adups e do fabricante americano BLU Products Samuel Ohev-Zion, asseguraram que toda a informação recolhida dos clientes das empresas telefónicas da Florida foi seguramente destruída.
Confirmamos que nenhum aparelho da ZTE dos Estados Unidos tenha tido ou venha a ter o software da Adups reportado em notícias recentes, afirmou um porta-voz da ZTE.
Embora os softwares sejam comummente explorados para recolher informação privada, não foi o que aconteceu entre a Adups e a BLU. Ao invés, parece que a "porta traseira" foi instalada propositadamente nos telefones sem conhecimento de retalhistas e clientes.
Ligações: Kryptowire discovers mobile phone firmware that transmitted personally identifiable information (PII) without user consent or disclosure [Kryptowire]; Secret Back Door in Some U.S. Phones Sent Data to China, Analysts Say [NYT]
Segundo os investigadores da Cyberscoop, o software malicioso estava tão bem dissimulado que era quase impossível de detectar. Ainda não é claro se esta "porta traseira" foi concebida integrada numa operação de espionagem para desviar dados, ou se os seus autores pretendiam coleccionar dados com objectivos comerciais.
O tráfego era encriptado várias vezes e os servidores eram usados também como elementos processuais de verificação e actualização, segundo o Vice-Presidente da Kryptowire, Tom Karygiannis.
Mesmo se um utilizador médio pudesse dar conta do tráfego, não seria capaz de se aperceber da sua proveniência. Dado que o mesmo domínio era usado para actualizações de firmware, seria fortemente improvável que utilizadores ou fornecedores de serviço internet reconhecessem o tráfego como transmissão de informação pessoal identificável, por estar camuflada como parte do processo de actualização/verificação, nas palavras de Karygiannis.
Os investigadores descobriram que o firmware da Adups transmitia pacotes de dados para um servidor chinês todas as 72 horas. Estes pacotes de dados continham logs das chamadas, mensagens escritas,listas de contactos. localização GPS e outros dados.
O Department of Homeland Security [segurança interna americana] foi recentemente alertado das descobertas e das preocupações da Kryptowire e está a trabalhar com os seus parceiros públicos e privados, com o escopo de identificar e contrapôr as medidas adequadas, disse a porta-voz do DHS, Marsha Catron. Também encorajamos todos os americanos a tomar precauções para assegurar a segurança dos seus dados e informação pessoal, incluindo o uso de passwords fortes, a manutenção actualizada do software anti-virus e a minimização da quantidade de dados pessoais compartilhados online, acrescentou.
De acordo com o site oficial das startups chinesas, entre os clientes da Adups estão dois dos maiores fabricantes de telemóveis da China: a ZTE e a Huawei e a americana BLU Products, que disse ao New York Times que 120 mil dos seus telefones foram afectados, mas que a actualização subsequente do seu software eliminará o problema.
Os executivos da Adups e do fabricante americano BLU Products Samuel Ohev-Zion, asseguraram que toda a informação recolhida dos clientes das empresas telefónicas da Florida foi seguramente destruída.
Confirmamos que nenhum aparelho da ZTE dos Estados Unidos tenha tido ou venha a ter o software da Adups reportado em notícias recentes, afirmou um porta-voz da ZTE.
Embora os softwares sejam comummente explorados para recolher informação privada, não foi o que aconteceu entre a Adups e a BLU. Ao invés, parece que a "porta traseira" foi instalada propositadamente nos telefones sem conhecimento de retalhistas e clientes.
Ligações: Kryptowire discovers mobile phone firmware that transmitted personally identifiable information (PII) without user consent or disclosure [Kryptowire]; Secret Back Door in Some U.S. Phones Sent Data to China, Analysts Say [NYT]
Sem comentários:
Enviar um comentário