[[335192]] 

研究人員上周四在大疆無人機開發的安卓App中發現了多個安全漏洞，App的自動更新機制可以繞過谷歌應用商店，并用來安裝惡意應用和傳輸敏感個人信息到大疆的服務器。

網絡安全公司Synacktiv和GRIMM的兩份報告顯示，大疆無人機Go 4安卓應用程序不僅要求一些額外的權限，也會收集IMSI、IMEI、SIM卡序列號等個人數據，其中使用了反調試和加密技術來繞過安全分析。這種機制于惡意軟件使用的C2服務器是非常類似的。考慮到Go 4安卓應用程序請求了聯系人、麥克風、攝像頭、位置、存儲、修改網絡連接的權限，大疆和微博服務器幾乎可以完全控制用戶的手機。

從谷歌應用商店的數據來看，Go 4的下載安裝量超過100萬。研究人員在App中發現的漏洞并不影響iOS 版本。

自更新機制

研究人員逆向了Go 4 App后發現了有個URL——hxxps://service-adhoc.dji.com/app/upgrade/public/check，該url被用來下載應用更新和提醒用戶授權安裝未知應用的權限。

研究人員修改了url中的請求來出發任意應用的更新，發現首先會提醒用戶允許安裝非可信的應用，然后在更新安裝完成之前攔截用戶使用應用。

這直接違反了谷歌應用商店的規則，攻擊者還可以入侵更新服務器然后用惡意應用更新來攻擊用戶。此外，App在關閉后仍然可以在后臺運行，并使用Weibo SDK ("com.sina.weibo.sdk") 來安裝任意下載的App。GRIMM稱并沒有發現任何漏洞被利用來安裝惡意應用攻擊用戶的證據。

此外，研究人員還發現App利用了MobTech SDK來竊取手機的元數據，包括屏幕大小、亮度、WLAN地址、BSSID、藍牙地址、IMEI和IMSI號、運營商名稱、SIM序列號、SD卡信息、操作系統語言和kernel版本，以及位置信息。

大疆回應

大疆回應稱相關研究結果與美國國土安全局等的報告是相悖的，美國國土安全局的報告稱沒有證據表明政府和企業用的大疆APP存在數據傳輸連接。此外，目前也沒有證據表明漏洞被利用。在未來的版本中，用戶可以從谷歌應用商店下載官方App版本，如果用戶使用的是非授權(破解)的版本，那么處于安全原因App將會被禁用。

去年5月，國土安全部發出警告稱，使用大疆無人機商業用戶的數據可能處于危險中，因為大疆無人機中包含有可以入侵其數據的組件，并且可以在服務器上分享信息。