در طول نیمه ی اول سال  2017، حملات موبایلی نزدیک به 20 درصد از تمام حملات سایبری در آمریکا را شکل می دهد. کارشناسان به طور مداوم به کاربران در مورد خطرات ناشی از نصب نرم افزار امنیتی برای محافظت از دستگاهایشان  هشدار داده اند. اما زمانی که آنتی ویروسی قابل اعتماد نیست و در واقع حریم خصوصی کاربران را به خطر می اندازد، چه اتفاقی خواهد افتاد؟

محققان شرکت چک پوینت، اخیرا یک برنامه آنتی ویروس موبایل رایگان توسعه یافته توسط گروه DU (توسعه دهنده برنامه های اندروید) که اطلاعات کاربر را بدون رضایت صاحبان دستگاه جمع آوری می کند، کشف کرده اند. اپلیکیشنDU Antivirus Security  بر روی Google Play، توزیع شده و بین 10 تا 50 میلیون بار دانلود شده است.

براساس تحقیقات چک پوینت، زمانی که  برنامه برای اولین بار اجرا می شود اطلاعاتی مثل شناسه های منحصربه فرد، لیست مخاطبین، لیست تماس ها و حتی موقعیت دستگاه را جمع آوری می شوند. سپس این اطلاعات رمزگذاری شده و به یک سرور فرستاده می شود. اطلاعات کاربران همچنین بعدا توسط یک برنامه دیگر ارائه شده توسط گروه DU به نام "Caller ID & Call Block - DU Caller" مورد سو استفاده قرار میگرفت.

این آنتی ویروس اطلاعات شخصی کاربرانش را بدون اجازه جمع کرده و از این اطلاعات خصوصی برای اهداف تجاری خود استفاده می کند. اطلاعاتی در مورد تماس های شخصی، اینکه به چه کسی صحبت می کنید و چه اندازه این تماس ها طول می کشد.

چک پوینت، استفاده ی غیرقانونی از اطلاعات خصوصی کاربران را در 21 آگوست 2017 گزارش کرد و برنامه در 24 آگوست 2017 از گوگل پلی حذف شد. ورژن جدید این آنتی ویروس که کد مخرب ندارد در 28 آگوست در پلی استور آپلود شد. ورژن شماره ی 3.1.5 از DU Antivirus Security آخرین شماره ی ورژن یافت شده است که در بردارنده ی  کد ناقض حریم خصوصی است اما ورژن های قدیمی تر ممکن است هنوز این کد مخرب را داشته باشند.

علاوه بر DU Antivirus Security، محققان چک پوینت چنین کدی را در 30 اپ دیگر از برنامه های گوگل پلی پیدا کردند و متعاقبا آن اپپلیکیشن ها را از گوگل پلی حذف کردند. این برنامه ها احتمالا کد را به عنوان یک کتابخانه خارجی اجرا کرده و داده های سرقت شده را به همان سرور راه دور که توسط DU Caller مورد استفاده قرار می گیرد، انتقال می دادند. در مجموع، طبق داده های Google Play، بین 24 تا 89 میلیون  قربانی این برنامه ها را نصب کرده اند.

کاربرانی که  DU Antivirus Security  یا هر اپ دیگری را نصب کرده اند باید برنامه هایشان را توسط آپگرید به آخرین ورژنی که این کد مخرب را ندارد  مورد بازبینی قرار دهند

از آنجاییکه برنامه های آنتی ویروس دلیلی موجه برای درخواست مجوزهای غیرمعمول دارند، پوششی  مناسب برای متقلبانی هستند که به دنبال سوء استفاده از این مجوزها هستند. در بسیاری از موارد اپ های آنتی ویروس موبایل حتی به عنوان یک دام برای تحویل  بدافزار استفاده می شوند. کاربران باید از این آنتی ویروس های مشکوک آگاه باشند و تنها از آنتی ویروس هایی استفاده کنند که توسط فروشندگان معتبر ارائه می شوند  که اثبات شده  قادر به محافظت از دستگاه های تلفن همراه و داده های ذخیره شده در آن ها هستند.

جزئیات تکنیکی

DU Antivirus Security وقتی که برای اولین بار اجرا می شود، اطلاعات را از دستگاه کاربران به سرقت می برد. اطلاعات به سرقت رفته به سرور caller.work که در اپ های DU به ثبت نرسیده است منتقل خواهد شد. این دامنه دارای دو زیر دامنه است که نشان می دهد به برنامه DU caller  متصل است. اولین زیر دامنه http://reg.caller.work/  است که یک صفحه ی PHP میباشد که hostname خود را اینطور مشخص می کند:  us02-Du_caller02.usaws02  و در بردارنده ی نام اپ DU caller است.

علاوه بر این، زیر دامنه ی vfun.caller.work که روی آی پی 47.88.174.218 هاست شده ایت، یک سرور خصوصی می­باشد که هاست دامنه ی dailypush.news نیز می باشد. این دامنه با zhanliangliu@gmail.com  که کارمند Baidu است، ثبت شده و از همان آدرس ایمیل برای پست کردن تجزیه تحلیل های شماره تلفن (http://zliu.org/post/python-libphonenumber/) استفاده شده است. چون اپلیکیشن های DU قسمتی از گروه Baidu هستند و پست مربوط به یک قابلیت مربوط به caller app است، نشان دهنده ی یک ارتباط بین اطلاعات به سرقت رفته و caller app است.

برنامه DU caller  در حال حاضر برای سیاست های حفظ حریم خصوصی مبهم، که شرایط مختلف را در صفحات جداگانه نمایش می دهد. اجرای فعالیت هایی بدون در نظر گرفتن رضایت کاربران باعث شده این شرکت تحت فشار قرار بگیرد. سال گذشته، آنتی ویرووس Cheetah Mobile  بعد از ارائه ی  یک سرویس که ممکن بود مقررات حفظ حریم خصوصی را نقض کند، با اتهامات مشابهی مواجه شد.