close
譯者：Janus情報局
預估稿費：110RMB
投稿方式：發送郵件至linwei#360.cn，或登陸網頁版在線投稿
簡介
你有沒有想過你的輸入法可能是一個專業的間諜?當然瞭，我們所說的並不是好萊塢電影中英俊的間諜人物，而是關於持續收集個人信息和個人電話，並將其泄露給第三方的的間諜軟件。我們最近就發現瞭一個這樣的間諜軟件，它是一款流行的Android輸入法軟件，開發者利用它持續監控用戶，將大量的用戶個人信息發送到遠程服務器，並使用一種特殊的技術下載危險的可執行代碼。
這項研究的目的是調查輸入法的流量消耗、不必要的行為和廣告演示，以及他們將用戶的哪些隱私數據發送到遠程服務器及第三方服務商。我們決定首先對TouchPal(觸寶)輸入法進行測試，它最近會在HTC設備中用戶打字的區域顯示廣告。為什麼這個事那麼重要？要知道，輸入法幾乎可以接觸你所有高價值的隱私數據，例如你的登錄名，密碼，郵件內容，發送的短信，假設，這些信息都被發送(甚至是賣)給瞭第三方，後果非常嚴重。而Go輸入法
絕對是輸入法領域的 冠軍 ，這款由GOMO團隊開發的應用，憑借著 智能 的輸入法，色彩斑斕、吸引人的主題，在世界各地擁有2億多的用戶。
你應該知道的臭靜電機名昭著的Go輸入法的那些事兒
它在谷歌商店上架瞭兩個版本(1,2)
它有2億+的下載量
它宣傳自己 We will never collect your personal info including credit card information. In fact, we cares for privacy of what you type and who you type!! (我們不會收集您的個人信息，包括信用卡信息。事實上，我們關心你輸入內容的隱私和你打字的人的隱私！)
它的隱私策略與此相矛盾
它與數十傢第三方廣告商有合作。它會下載14MB左右的數據，並在用戶安裝後，發送大量用戶的個人信息
它可以訪問敏感數據，包括你的身份信息，電話記錄，聯系人，麥克風
不幸的是，上面列出的一切都是現在的標準。最近的研究顯示，10個移動應用程序中會有7個與第三方服務共享你的數據。然而，Go輸入法的開發人員越過瞭紅線，直接違反瞭谷歌商店的內容策略 惡意行為部分。
紅線靜電機保養
Apps that steal a user s authentication information (such as usernames or passwords) or that mimic other apps or websites to trick users into disclosing personal or authentication information.(竊取用戶身份驗證信息(如用戶名或密碼)或模仿其他應用程序或網站，以誘使用戶披露個人或身份驗證信息的應用程序。)
未經用戶授權，Go輸入法私自將用戶的個人信息及設備信息，除設備語言，IMSI，位置，網絡類型，屏幕尺寸，Android版本，設備類型等信息外，它還會將用戶Google賬戶郵件賬號發送到遠程服務器。
Apps or SDKs that download executable code, such as dex files or native code, from a source other than Google Play.(從Google商店以外的其他來源下載可執行代碼（例如dex文件或本地代碼）的應用程序或SDK。)
安裝後，這兩款Go輸入法都會從遠程服務器下載並執行代碼，這種行為直接違反瞭上述策略。一些下載插件也被反病毒引擎標記為Adware或者PUP。
重要的是，應該考慮到授予應用程序廣泛權限的後果，遠程代碼執行會帶來嚴重的安全和隱私風險。在任何時候，服務器所有者可能會改變應用程序的行為，這個時候就不僅僅是竊取你的電子郵件地址，而是想做什麼就做什麼瞭。記住，這是一個輸入法，你輸入的每一個重要信息都經過它！
目前，Adguard已經向谷歌上報瞭Go輸入法的違規行為，並等待回復。擁有2億用戶並不能成為程序值得信賴的標準，也不要盲目相信手機應用程序，在安裝之前應充分檢查他們的隱私策略和請求的權油煙處理機價格限。
樣本可通過Janus搜索以下包名進行進一步分析：
AUGI SPORTS｜重機車靴｜重機車靴推薦｜重機專用車靴｜重機防摔鞋｜重機防摔鞋推薦｜重機防摔鞋
AUGI SPORTS｜augisports｜racing boots｜urban boots｜motorcycle boots
全站熱搜
留言列表
