محققان امنیتی، در بین اپلیکیشن‌های گوگل پلی چند برنامه را شناسایی کردند که به جمع‌آوری داده‌های حساس و خصوصی کاربران می‌پرداختند.
این اپلیکیشن‌ها از طریق یک کیت توسعه نرم‌افزاری (SDK) سوم شخص به جمع‌آوری داده می‌پرداختند که توانایی‌های زیر را دارا است:
- ذخیره محتوای کلیپ بورد
- اطلاعات موقعیت مکانی
- آدرس ایمیل
- شماره تلفن
- مک آدرس مودم قربانی
- نام شبکه وای‌فای متصل به آن
در صورت سوءاستفاده از این اطلاعات یا انتشار آنها در اینترنت، می‌تواند پیامدهای ناگواری برای قربانی به همراه داشته باشد.
علاوه بر این، در کلیپ بورد کاربر ممکن اطلاعات بسیار حساسی از جمله نام کاربری و رمزهای عبور، رمز ورود به کیف پول ارزهای دیجیتالی و غیره، وجود داشته باشد که نباید به هیچ عنوان در بانک‌های اطلاعاتی سوم شخص ذخیره شوند.
بنابر گزارش AppCensus، اطلاعات جمع‌آوری شده توسط این SDK، به صورت یک بسته در آمده و به “mobile.measurelib.com” ارسال می‌شود که به یک شرکت تحلیلگر پانامایی تعلق دارد.
این شرکت یک SDK جمع‌آوری دیتا با نام Coelib را تبلیغ می‌کند که یک فرصت درآمدزایی بدون آگهی را به توسعه دهندگان وعده می‌دهد.
به گفته این محققان، بسیاری از کدهای موجود در کتابخانه کیت توسعه نرم‌افزاری فوق، با استفاده از روشهای AES و Base64 رمزنگاری شده‌اند.
لیست اپلیکیشن‌هایی که از این کیت استفاده می‌کنند به شرح زیر است:
- Speed Camera Reader
- AI-Moazin lite
- WiFI Mouse
- QR & Barcode Scanner
- Qibla Compass Ramadan 2022
- Simple weather & clock widget
- Handcent next sms-text w/MMS
- AI Quran mp3 – ۵۰ Reciters & Translation audio
- Full Quran Mp3 -– ۵۰ Reciters & Translation audio
- Audiosdroid Audio Studio DAW
اپلیکیشن‌های فوق مجموعا بیش از ۴۵ بار دانلود شده‌اند. محققان در ۲۰ اکتبر ۲۰۲۱ گزارشات خود را به گوگل تحویل دادند و این شرکت پس از انجام تحقیقات، آنها را از گوگل پلی حذف کرد.
در ادامه توسعه دهندگان با حذف SDK دوباره اپلیکیشن خود را به گوگل پلی وارد کردند. افرادی که از نسخه‌های قدیمی این برنامه استفاده می‌کنند، با بروز رسانی نمی‌توانند از شر SDK رهایی پیدا کنند. کاربران باید حتما برنامه مورد نظر را حذف و دوباره دانلود کنند.
متاسفانه با توجه به اینکه کتابخانه‌های جمع‌آوری کننده داده، در پشت زمینه برنامه‌ها فعالیت می‌کنند، شناسایی نوع داده‌های استخراج شده و نحوه مدیریت آنها برای کاربران عادی غیر ممکن است.
هنوز نظری ثبت نشده است. شما اولین نظر را بنویسید.