Milhões de Android Os fãs baixaram involuntariamente aplicativos da Google Play Store que incluíam códigos de terceiros projetados para coletar informações confidenciais, como endereços de e-mail, números de telefone, informações precisas de localização via GPA e muito mais, afirmaram especialistas em segurança. O software afetado incluiria aplicativos meteorológicos, scanners QR, tráfego rodoviário – com alguns desses aplicativos Android baixados por mais de 10 milhões de pessoas na Google Play Store.
O código ofensivo foi supostamente encontrado em desenvolvedores de kits de desenvolvimento de software (SDKs) adicionados a seus aplicativos após serem pagos. Alega-se que o SDK foi o trabalho da Measurement Systems, uma empresa que o Wall Street Journal disse estar ligada a um empreiteiro de defesa da Virgíniaque trabalha com inteligência cibernética para agências de segurança nacional dos EUA.
A Measurement Systems negou as acusações.
Os pesquisadores que se depararam com tudo isso foram Serge Egelman da UC Berkeley e Joel Reardon da Universidade de Calgary. Suas descobertas foram relatadas ao Google junto com reguladores federais.
Egelman disse ao WSJ que o código “sem dúvida” pode “ser descrito como malware”.
Enquanto estiver em uma postagem no blog do AppCensus Reardon disse: “Um banco de dados mapeando o e-mail e o número de telefone reais de alguém para seu histórico de localização GPS preciso é particularmente assustador, pois pode ser facilmente usado para executar um serviço para pesquisar o histórico de localização de uma pessoa apenas conhecendo seu número de telefone ou e-mail, que poderia ser usado para atingir jornalistas, dissidentes ou rivais políticos”.
Quando as descobertas foram publicadas, os aplicativos afetados foram retirados da Play Store, mas os programas ainda existiam em milhões de dispositivos. Os pesquisadores disseram que, ao mesmo tempo em que revelaram suas descobertas, o SDK parou de coletar dados dos aplicativos em que já estava presente.
A postagem de Reardon no AppCensus Blog explicou como o SDK foi posicionado para os desenvolvedores, com os fabricantes de aplicativos dizendo que os ajudaria a monetizar seus programas sem a necessidade de anúncios.
Um pedaço de material promocional para o SDK dizia: “Somos uma estratégia de monetização alternativa leve em vez de receita baseada em anúncios, e não sacrificamos a privacidade de seus usuários ou a duração da bateria”.
Embora o Google tenha limpado a Play Store de aplicativos que continham o SDK, ele pôde ser listado novamente se o código incorreto fosse removido.
Esse foi o caso de vários aplicativos afetados. Você pode encontrar uma lista de programas destacados na postagem do AppCensus abaixo.
Falando ao WSJ sobre as alegações, a Measurement Systems disse: “As alegações que você faz sobre as atividades da empresa são falsas. . Também não temos certeza sobre o que é a Packet Forensics ou como ela se relaciona com nossa empresa.”
Abaixo está uma lista dos programas mais populares que incluíram o SDK de acordo com o AppCensus Blog.
Se você possui algum desses aplicativos e eles estão disponíveis agora na Play Store, verifique se há atualizações disponíveis e, se quiser continuar usando os programas, baixe a versão mais recente.
Radar de radar de velocidade (instalações mais de 10 milhões)
Al-Moazin Lite (Tempos de Oração) (Instalações acima de 10 milhões)
Mouse WiFi (PC de controle remoto) (Instalações 10 milhões mais)
QR & Barcode Scanner (instalações de mais de cinco milhões)
Qibla Compass – Ramadan 2022 (instalações mais de cinco milhões)
Widget simples de clima e relógio (instalações mais de um milhão)
Handcent Next SMS-Text com MMS (Instalações um milhão mais)
Smart Kit 360 (instalações mais de um milhão)
Al Quran Mp3 – 50 recitadores e áudio de tradução (instalações um milhão mais)
Full Alcorão MP3 – mais de 50 idiomas e áudio de tradução (instalações mais de um milhão)
Audiosdroid Audio Studio DAW – Aplicativos no Google Play (instalações um milhão mais)