爆料 | 安卓“间谍门”事件愈演愈烈，又一家中国公司被曝在300万台安卓设备中植入rootkit

今年11月15日左右，美国多家媒体爆料上海广升的固件OTA方案存在后门，其固件会每隔72小时就把你所有的短信内容、联系人等都发送到中国服务器，这种软件监视用户去过哪里，他们与什么人聊过天，他们在短信中写了什么等。这次爆料也使得广升陷入“间谍门“事件，但是事情还没结束。

11月17日左右，AnubisNetworks的CTO（João Gouveia）和BitSight的安全研究人员（Dan Dahlberg）发现多个品牌的Android手机固件OTA升级机制存在安全问题，包括在美国百思买出售的BLU Studio G等。

而这种不安全的的OTA升级机制和中国一家名为锐嘉科（Ragentek Group）的公司有关。

从这家公司的官网来看，锐嘉科集团有限公司提供移动智能终端整机方案服务，而且它也来自上海！“提供工业设计、结构设计、硬件设计、软件设计、生产制造、测试、QA的全套移动终端解决方案；提供产品预研、海外智能产品研发、国内大客户产品研发、自有品牌研发等服务”。

300万台安卓设备植入RootKit

根据研究报告声称，已经有三百万台安卓设备在出厂的时候被被植入了该恶意软件。安装该恶意软件的设备可被黑客进行中间人攻击，并且以root权限执行任意代码以此来获得对Android设备的绝对控制权，其主要原因是因为设备在OTA更新的时候没有采取严格的加密措施导致的。

两位研究人员从Best Buy官网购买了一部BLU Studio G安卓手机，在研究人员才配置好抓包系统后，很快一条未加密的连接就出现在了屏幕上，该连接指向了oyag.lhzbdvm.com。

然后，该设备又尝试和两个未被注册的域名进行通讯。对的，你没看错，锐嘉科自己开发的代码居然和两个未被注册的域名进行了通讯。安全研究人员很快就注册了这两个域名，而这个步骤，也是研究人员获取到全球感染该rootkit数量的关键步骤。

研究报告中提到，整个存在问题的OTA升级机制就跟这家中国公司——锐嘉科相关，其中包含隐藏的二进制文件/system/bin/debugs。它以root权限运行，并与3个主机进行为未加密通讯。

研究人员表示，该特权二进制文件不仅会将用户信息暴露给MITM攻击者，而且的确就是个rootkit。先前我们报道广升的固件是拿取用户和设备信息，而锐嘉科的固件则堂而皇之、不对收发信息加密，而且也不采用代码签署确认应用合法性。

CERT的顾问表示，这个二进制文件还采用了多种方式来隐藏自己的进程，因此才将它称为一个rootkit。

远程攻击者完全可以窃取受影响设备的个人信息，远程进行设备的wipe操作，甚至可以在企业网络中获取其他系统的访问权，获取敏感信息。

该报告声称，这个rootkit包含在多数与锐嘉科集团相关的设备和供应商的设备上。以下为感染列表。

BLU Studio G BLU Studio G Plus BLU Studio 6.0 HD BLU Studio X BLU Studio X Plus BLU Studio C HD Infinix Hot X507（某主攻欧洲、非洲市场的国产品牌） Infinix Hot 2 X510 Infinix Zero X506 Infinix Zero 2 X509 DOOGEE Voyager 2 DG310 LEAGOO Lead 5 LEAGOO Lead 6 LEAGOO Lead 3i LEAGOO Lead 2S LEAGOO Alfa 6 IKU Colorful K45i Beeline Pro 2 XOLO Cube 5.0

根据统计，目前受到此rootkit感染的安卓设备数量超过280万台。在研究人员分析完二进制文件，并且根据刚刚注册的两个域名搭建好服务器后，迅速由超过百万的设备连接到服务器。

到目前为止，BLU Products公司发布了一个软件更新来修复该漏洞，目前暂时不知该更新是否能够修复这个漏洞，研究人员也尚未进行测试。但是，其余的Android设备可能仍然这个Rootkit的受到影响。

显然这次的中国安卓设备“间谍门“事件越演越烈，或许将会影响到中国到欧美地区的国际业务，而美国政府很有可能会加大对中国互联网产品的安全检测。

如果想了解详细的报告，你可以访问《锐嘉科RootKit详细事件分析》。

*本文作者：ArthurKiller，编译自thehackernews，转载请注明来自FreeBuf（FreeBuf.com）