Programa Meitu acusado de coletar informações pessoais

Nos últimos dias, a web espalhou rapidamente informações sobre o aplicativo móvel chinês Meitu - um dos muitos programas da classe "beleza" (melhorador de rosto) para selfie. A característica do Meitu é que, entre os filtros, existe um anime, quando o programa aumenta os olhos, embranquece a pele, tinge os lábios, cílios, etc. O programa realmente gostou de muitos usuários que estão felizes em experimentar um filtro de anime em si mesmos . Após a popularidade de Meitu, os especialistas em segurança também voltaram sua atenção para este aplicativo, pois ele coleta uma quantidade incomumente grande de informações sobre os usuários. Se uma parte significativa da população o instala, um banco de dados tão grande de usuários já pode ter um valor prático para quem o coleta.

Portanto, quais informações o programa coleta.

O IMEI é enviado aos servidores chineses 110.173.196.36, 124.243.219.159 e 42.62.120.41 na versão Android. Na versão iOS com as atualizações mais recentes, aplicativos de terceiros não têm a oportunidade de obter o endereço IMEI, IMSI e MAC do dispositivo, embora o código do aplicativo iOS tenha um fragmento de código correspondente que é proibido incluir programas na App Store.





A versão iOS contém pelo menos três verificações de como fazer o jailbreak do seu smartphone.



A função para coletar informações sobre o provedor de celular se parece com isso.



Além disso, o Meitu compila um perfil de dispositivo exclusivo , incluindo o endereço MAC do smartphone.

O aplicativo tem um códigopermitindo o carregamento dinâmico de estruturas privadas enquanto o programa está em execução. No entanto, embora não haja evidências de que esse código seja usado. Aparentemente, esse código foi compilado como parte do iOS Facebook SDK.



Uma análise da versão Meitu para iOS mostra que o aplicativo envia parte das informações coletadas aos servidores dos parceiros, principalmente empresas analíticas. Por exemplo, o nome do operador móvel é enviado ao servidor da empresa analítica Umeng / Youmi (alogs.umeng.com). Um número de versão do iOS, nome do modelo do smartphone, tipo de rede (por exemplo, WiFi), idioma do dispositivo, informações de localização do dispositivo, código do país móvel e um identificador exclusivo gerado aleatoriamente são enviados ao servidor analítico Meitu.

Talvez os criadores chineses desse programa ridículo não tivessem nenhum tipo de pensamento retroativo sobre a coleta de uma grande variedade de informações privadas sobre os usuários. Pelo menos agora não há evidências de que o programa seja realmente malicioso. Por exemplo, pode ser necessário coletar IMSI de acordo com a lei chinesa . Mas, ainda assim, o exemplo do Meitu mostra que base um invasor em potencial pode reunir. Afinal, este programa é estabelecido por cidadãos bastante respeitáveis ​​- seus colegas, seus superiores, que pagam um salário, seus amigos e parentes. As informações de seus telefones são coletadas e enviadas para um servidor remoto.

Depois de traçar o perfil do telefone, Meitu continua a coletar dados particulares. As informações sobre a localização geográfica do usuário são obtidas não apenas através da função de determinação de coordenadas GPS padrão, mas também a partir de dados de fotos EXIF ​​armazenados em um smartphone.

Mesmo durante a instalação, o programa solicita uma extensa lista de permissões, incluindo acesso ao dispositivo e histórico, localização exata, status do telefone, USB, fotos e armazenamento (para escrita e leitura), câmera, conexão WiFi, ID do dispositivo nas informações de chamada, acesso total à rede, iniciando na inicialização, impedindo a hibernação etc. Para obter uma lista completa de permissões, consulte as capturas de tela abaixo.

• Chave do aplicativo
• Versão da aplicação
• Tipo de SO
• IMEI
• Endereço MAC
• Versão do SO
• Modelo do dispositivo
• Resolução
• Transportadora
• Tipo de rede
• Linguagem
• País de origem
• Cidade
• Longitude
• SIM ICCID
• Endereço IP local
• Root Status Jail brake Status ( iOS)

Em princípio, o programa coleta no telefone literalmente todas as informações que pode coletar. Talvez isso possa ser considerado uma taxa pelo seu status gratuito, muitos usuários concordam, enquanto outros não prestam atenção. No final, esse é um modelo de negócios padrão para a Internet moderna: a empresa fornece o serviço gratuitamente ao público e usa o próprio público como um produto que é oferecido ao anunciante por dinheiro.

O programa também possui um grande número de módulos analíticos de terceiros e rastreadores de publicidade, incluindo AppsFlyer, Crashlytics, Fabric, Umeng / Youmi.

“Se você deseja se tornar um alvo para segmentação e mineração de dados, instale o Meitu. Tenho certeza de que não importa quem compra dados deles, ele agradecerá ", comentaEspecialista em segurança Jonathan Zdziarski.

Os representantes da Meitu não comentam o fato de uma grande quantidade de informações privadas ter sido coletada, mas enfatizam que a Meitu é parceira oficial do Google Play e participa do prestigiado programa Sand Hill do Google para aplicativos com potencial viral. Como parte deste programa, o Google fornece aos desenvolvedores conselhos e assistência sobre como melhorar o desempenho do programa em diferentes mercados do mundo.

Alguns especialistas dizem que o programa Meitu em termos de quantidade de informações coletadas não difere de muitos outros aplicativos populares para iOS e Android, por exemplo, do mesmo programa Pokemon Go.

Segundo as estatísticas, hoje, os aplicativos Meitu têm mais de 1,1 bilhão de instalações, 456 milhões de usuários ativos em todo o mundo, 6 bilhões de selfies tiradas e mais de 490 milhões de vídeos enviados para os servidores Meitu.

Source: https://habr.com/ru/post/pt400923/