Meitu-Programm beschuldigt, persönliche Informationen gesammelt zu haben

In den letzten Tagen hat das Web schnell Informationen über die chinesische mobile Anwendung Meitu verbreitet - eines der vielen Programme der Klasse "Schönheit" (Gesichtsverbesserer) für Selfies. Das Merkmal von Meitu ist, dass es unter den Filtern einen Anime gibt, bei dem das Programm die Augen vergrößert, die Haut aufhellt, die Lippen, Wimpern usw. färbt. Das Programm mochte wirklich viele Benutzer, die sich freuen, einen Anime-Filter für sich selbst zu erleben . Im Zuge der Popularität von Meitu haben Sicherheitsexperten ihre Aufmerksamkeit auch auf diese Anwendung gelenkt, da sie eine ungewöhnlich große Menge an Informationen über Benutzer sammelt. Wenn ein erheblicher Teil der Bevölkerung es installiert, kann eine so große Benutzerdatenbank bereits einen praktischen Wert für denjenigen haben, der sie sammelt.

Welche Informationen sammelt das Programm?

IMEI - Kennung gesendet wird an die chinesischen Server 110.173.196.36, 124.243.219.159 42.62.120.41 und in einer Version für Android. In der iOS-Version mit den neuesten Updates haben Anwendungen von Drittanbietern nicht die Möglichkeit, die IMEI-, IMSI- und MAC-Adresse des Geräts abzurufen, obwohl der iOS-Anwendungscode ein entsprechendes Codefragment enthält, das keine Programme in den App Store aufnehmen darf.





Die iOS-Version enthält mindestens drei Überprüfungen, wie Sie Ihr Smartphone jailbreaken können.



Die Funktion zum Sammeln von Informationen über den Mobilfunkanbieter sieht folgendermaßen aus.



Darüber hinaus erstellt Meitu ein eindeutiges Geräteprofil , das auch die MAC-Adresse des Smartphones berücksichtigt.

Die Anwendung hat einen CodeErmöglichen des dynamischen Ladens privater Frameworks während der Ausführung des Programms. Es gibt jedoch keine Hinweise darauf, dass dieser Code verwendet wird. Anscheinend wurde dieser Code als Teil des iOS Facebook SDK kompiliert.



Eine Analyse der Meitu-Version für iOS zeigt, dass die Anwendung einen Teil der gesammelten Informationen an die Server von Partnern sendet, hauptsächlich von Analyseunternehmen . Beispielsweise wird der Name des Mobilfunkbetreibers an den Server des Analyseunternehmens Umeng / Youmi (alogs.umeng.com) gesendet. Eine iOS-Versionsnummer, ein Modellname des Smartphones, ein Netzwerktyp (z. B. WiFi), eine Gerätesprache, Gerätelokalisierungsinformationen, ein mobiler Ländercode und eine zufällig generierte eindeutige Kennung werden an den Meitu-Analyseserver gesendet.

Vielleicht hatten die chinesischen Schöpfer dieses lächerlichen Programms keine rückständigen Gedanken darüber, eine große Anzahl privater Informationen über Benutzer zu sammeln. Zumindest gibt es jetzt keine Hinweise darauf, dass das Programm tatsächlich bösartig ist. Beispielsweise kann es nach chinesischem Recht erforderlich sein, IMSI zu sammeln . Das Meitu-Beispiel zeigt jedoch, welche Basis ein potenzieller Angreifer sammeln kann. Schließlich wird dieses Programm von recht angesehenen Bürgern festgelegt - Ihren Kollegen, Ihren Vorgesetzten, die Ihnen ein Gehalt zahlen, Ihren Freunden und Verwandten. Informationen von ihren Telefonen werden gesammelt und an einen Remote-Server gesendet.

Nach der Profilerstellung des Telefons sammelt Meitu weiterhin private Daten. Informationen über den geografischen Standort des Benutzers werden nicht nur über die Standardfunktion zur Bestimmung der GPS-Koordinaten abgerufen, sondern auch aus EXIF-Fotodaten, die auf einem Smartphone gespeichert sind.

Selbst während der Installation fordert das Programm eine umfangreiche Liste von Berechtigungen an, einschließlich Zugriff auf das Gerät und Verlauf, genauen Standort, Telefonstatus, USB, Fotos und Speicher (zum Schreiben und Lesen), Kamera, WiFi-Verbindung, Geräte-ID in Anrufinformationen, Vollzugriff Das Netzwerk wird gestartet, beim Booten gestartet, der Ruhezustand verhindert usw. Eine vollständige Liste der Berechtigungen finden Sie in den folgenden Screenshots.

• App-Schlüssel
• App-Version
• Betriebssystemtyp
• IMEI
• MAC-Adresse
• Betriebssystemversion
• Gerätemodell
• Auflösung
• Träger
• Netzwerktyp
• Sprache
• Land
• Stadt
• Längengrad
• SIM ICCID
• Lokale IP-Adresse
• Root Status Jail brake Status ( iOS)

Im Prinzip sammelt das Programm am Telefon buchstäblich alle Informationen, die es sammeln kann. Vielleicht kann dies als Gebühr für seinen kostenlosen Status angesehen werden, so viele Benutzer sind sich einig, während andere nicht darauf achten. Letztendlich ist dies ein Standardgeschäftsmodell für das moderne Internet: Das Unternehmen bietet dem Publikum den Service kostenlos an und nutzt das Publikum selbst als Produkt, das dem Werbetreibenden für Geld angeboten wird.

Das Programm verfügt außerdem über eine große Anzahl von Analysemodulen und Werbetrackern von Drittanbietern, darunter AppsFlyer, Crashlytics, Fabric, Umeng / Youmi.

„Wenn Sie ein Ziel für Targeting und Data Mining werden möchten, müssen Sie Meitu installieren. Ich bin mir sicher, dass er sich bei Ihnen bedanken wird, egal wer Daten von ihnen kauft “, kommentiert erSicherheitsspezialist Jonathan Zdziarski.

Vertreter von Meitu äußern sich nicht zu der Tatsache, dass eine große Menge privater Informationen gesammelt wurde, betonen jedoch , dass Meitu offizieller Partner von Google Play ist und an Googles renommiertem Sand Hill-Programm für Anwendungen mit viralem Potenzial teilnimmt. Im Rahmen dieses Programms bietet Google Entwicklern Ratschläge und Unterstützung bei der Verbesserung der Programmleistung in verschiedenen Märkten auf der ganzen Welt.

Einige Experten sagen, dass sich das Meitu-Programm in Bezug auf die Menge der gesammelten Informationen überhaupt nicht von vielen anderen beliebten Anwendungen für iOS und Android unterscheidet, beispielsweise von demselben Pokemon Go-Programm.

Laut Statistik haben Meitu-Anwendungen heute mehr als 1,1 Milliarden Installationen, 456 Millionen aktive Benutzer auf der ganzen Welt, 6 Milliarden aufgenommene Selfies und mehr als 490 Millionen Videos, die auf Meitu-Server hochgeladen wurden.

Source: https://habr.com/ru/post/de400923/