Xiaomi может удаленно установить на любой смартфон собственного производства любое приложение.
Вскрылось это после того, как один нидерландец, обучающийся компьютерной безопасности, обратил внимание на странное предустановленное приложение AnalyticsCore.apk, которое работает на смартфоне Xiaomi MI4 в режиме 24/7.
После того, как на официальном форуме технической поддержки вопрос о происхождении AnalyticsCore.apk был проигнорирован, Тайс Броенинк провел реверс-инжиниринг приложения и выяснил, что каждые 24 часа оно обменивается данными с официальными серверами компании. Каждый раз приложение отправляло данные об IMEI устройства, MAC-адрес, цифровые подписи и другую информацию. Если же на сервере присутствует обновление в виде Analytics.apk, оно будет автоматически устанавливаться на смартфон без какого-либо подтверждения со стороны пользователя.
Тайс считает, что данное привилегированное приложение от Xiaomi самостоятельно запускает установку в фоновом режиме игнорируя пользователя. Из этого он сделал вывод, что под видом Analytics.apk Xiaomi можно подсунуть любой пакет и установить его принудительно в фоновом режиме. Нидерландец не смог найти никакой информации, зачем именно Xiaomi понадобился подобный бэкдор. Основная проблема заключается в том, что связь apk с сервером происходит по протоколу http и обмен данным подвержен Man-In-The-Middle-атакам.
Еще одна проблема заключается в том, что даже после удаления AnalyticsCore.apk он появляется на телефоне через некоторое время, то есть рядовыми средствами избавиться от него невозможно. До определенного момента команда Xiaomi упорно игнорировала обсуждение AnalyticsCore.apk на официальном форуме технической поддержки компании, но все же предоставила комментарии на эту тему:
В тоже время разработчики уверяют, что уязвимости нет, так как Analytics.apk защищен цифровой подписью, которая всегда сверяется перед установкой обновления приложения на смартфон. По их мнению — это достаточная защита данных от злоумышленников.
От комментариев на тему возможной принудительной установки любого приложения со стороны Xiaomi на устройство пользователя компания воздержалась.
