Meitu programa acusado de recopilar información personal

En los últimos días, la web ha difundido rápidamente información sobre la aplicación móvil china Meitu , uno de los muchos programas de la clase "belleza" (mejorador facial) para selfies. La característica de Meitu es que entre los filtros hay uno de anime, cuando el programa agranda los ojos, blanquea la piel, tiñe los labios, las pestañas, etc. Al programa realmente le gustaron muchos usuarios que están felices de experimentar un filtro de anime en sí mismos . A raíz de la popularidad de Meitu, los expertos en seguridad también han centrado su atención en esta aplicación porque recopila una cantidad inusualmente grande de información sobre los usuarios. Si una parte importante de la población lo instala, entonces una base de datos de usuarios tan grande ya puede tener un valor práctico para quien la recopila.

Entonces, qué información recopila el programa.

El IMEI se envía a los servidores chinos 110.173.196.36, 124.243.219.159 y 42.62.120.41 en la versión de Android. En la versión de iOS con las últimas actualizaciones, las aplicaciones de terceros no tienen la oportunidad de obtener la dirección IMEI, IMSI y MAC del dispositivo, aunque el código de la aplicación iOS tiene un fragmento de código correspondiente que está prohibido incluir programas en la App Store.





La versión de iOS contiene al menos tres comprobaciones sobre cómo hacer jailbreak a su teléfono inteligente.



La función para recopilar información sobre el proveedor celular se ve así.



Además, Meitu compila un perfil de dispositivo único , que incluye tener en cuenta la dirección MAC del teléfono inteligente.

La aplicación tiene un código.permitiendo la carga dinámica de marcos privados mientras se ejecuta el programa. Sin embargo, aunque no hay evidencia de que se use este código. Aparentemente, este código fue compilado como parte del SDK de Facebook de iOS.



Un análisis de la versión Meitu para iOS muestra que la aplicación envía parte de la información recopilada a los servidores de los socios, principalmente las empresas analíticas. Por ejemplo, el nombre del operador móvil se envía al servidor de la compañía analítica Umeng / Youmi (alogs.umeng.com). Un número de versión de iOS, nombre de modelo de teléfono inteligente, tipo de red (por ejemplo, WiFi), idioma del dispositivo, información de localización del dispositivo, código de país móvil y un identificador único generado aleatoriamente se envían al servidor analítico Meitu.

Quizás los creadores chinos de este ridículo programa no tenían ningún tipo de pensamiento atrasado sobre la recopilación de una gran variedad de información privada sobre los usuarios. Al menos ahora no hay evidencia de que el programa sea realmente malicioso. Por ejemplo, puede ser necesario recopilar IMSI según la ley china . Pero aún así, el ejemplo de Meitu muestra qué base puede reunir un atacante potencial. Después de todo, este programa está establecido por ciudadanos bastante respetables: sus colegas, sus superiores, quienes le pagan un salario, sus amigos y familiares. La información de sus teléfonos se recopila y se envía a un servidor remoto.

Después de perfilar el teléfono, Meitu continúa recopilando datos privados. La información sobre la ubicación geográfica del usuario se obtiene no solo a través de la función de determinación de coordenadas GPS estándar, sino también a partir de datos de fotos EXIF ​​almacenados en un teléfono inteligente.

Incluso durante la instalación, el programa solicita una extensa lista de permisos, incluido el acceso al dispositivo y el historial, ubicación exacta, estado del teléfono, USB, fotos y almacenamiento (para escritura y lectura), cámara, conexión WiFi, identificación del dispositivo en la información de la llamada, acceso completo a la red, comenzando en el arranque, evitando la hibernación, etc. Para obtener una lista completa de permisos, consulte las capturas de pantalla a continuación.

• Clave de la aplicación
• Versión de la aplicación
• Tipo de sistema operativo
• IMEI
• Dirección MAC
• Versión del sistema operativo
• Modelo de dispositivo
• Resolución
• Transportista
• Tipo de red
• Idioma
• Pais
• Ciudad
• Longitud
• ICCID SIM
• Dirección IP local
• Root Status Jail brake Status ( iOS)

En principio, el programa recopila en el teléfono literalmente toda la información que puede recopilar. Quizás esto pueda considerarse como una tarifa por su estado gratuito, por lo que muchos usuarios están de acuerdo, mientras que otros no prestan atención. Al final, este es el modelo de negocio estándar para la Internet moderna: la compañía proporciona el servicio al público de forma gratuita, y utiliza al público en sí mismo como un producto que se ofrece al anunciante por dinero.

El programa también tiene una gran cantidad de módulos analíticos de terceros y rastreadores publicitarios, incluidos AppsFlyer, Crashlytics, Fabric, Umeng / Youmi.

“Si desea convertirse en un objetivo para la segmentación y la minería de datos, asegúrese de instalar Meitu. Estoy seguro de que no importa quién les compre datos, él lo agradecerá ", comentaEspecialista en seguridad Jonathan Zdziarski.

Los representantes de Meitu no comentan el hecho de que se recopiló una gran cantidad de información privada, pero enfatizan que Meitu es un socio oficial de Google Play y participa en el prestigioso programa Sand Hill de Google para aplicaciones con potencial viral. Como parte de este programa, Google ofrece a los desarrolladores asesoramiento y asistencia sobre cómo mejorar el rendimiento del programa en diferentes mercados de todo el mundo.

Algunos expertos dicen que el programa Meitu en términos de la cantidad de información recopilada no difiere en absoluto de muchas otras aplicaciones populares para iOS y Android, por ejemplo, del mismo programa Pokemon Go.

Según las estadísticas, hoy las aplicaciones de Meitu tienen más de 1,1 mil millones de instalaciones, 456 millones de usuarios activos en todo el mundo, 6 mil millones de selfies tomadas y más de 490 millones de videos subidos a los servidores de Meitu.

Source: https://habr.com/ru/post/es400923/