研究机构发文披露某国产APP恶意利用漏洞，非法提权获取用户隐私及远程遥控

研究机构发文披露某国产APP恶意利用漏洞，非法提权获取用户隐私及远程遥控 注：据信该APP指的是“拼多多” 微信公众号「DarkNavy」发文，称某互联网厂商 App 利用 Android 系统漏洞提升权限，进而获取用户隐私及阻止自身被卸载。 该互联网厂商在自家看似无害的 App 里，使用的第一个黑客技术手段，是利用一个近年来看似默默无闻、但实际攻击效果非常好的 Bundle 风水 - Android Parcel 序列化与反序列化不匹配系列漏洞，实现 0day/Nday 攻击，从而绕过系统校验，获取系统级 StartAnyWhere 能力。 提权控制手机系统之后，该 App 即开启了一系列的违规操作，绕过隐私合规监管，大肆收集用户的隐私信息（包括社交媒体账户资料、位置信息、Wi-Fi 信息、基站信息甚至路由器信息等） 之后，该 App 进一步使用的另一个黑客技术手段，是利用手机厂商 OEM 代码中导出的 root-path FileContentProvider， 进行 System App 和敏感系统应用文件读写； 进而突破沙箱机制、绕开权限系统改写系统关键配置文件为自身保活，修改用户桌面(Launcher)配置隐藏自身或欺骗用户实现防卸载； 随后，还进一步通过覆盖动态代码文件的方式劫持其他应用注入后门执行代码，进行更加隐蔽的长期驻留； 甚至还实现了和间谍软件一样的遥控机制，通过远端“云控开关”控制非法行为的启动与暂停，来躲避检测。

【分享】Shizuku 免root提高软件权限手机必备

【分享】Shizuku 免root提高软件权限手机必备 可用于GKD mt管理器等软件提高权限，一些软件激活，等功能 【应用名称】shizuku 【应用版本】13.6.0.r1086.2650830c 【软件大小】2.45mb 【适用平台】安卓 【应用简介】Shizuku 是一款可以帮助普通应用借助一个由 app_process 启动的 Java 进程直接以 adb 或 root 特权使用系统 API。 比较晦涩，简单地讲，就是它可以帮助你更轻松的提升固化软件权限。 【下载地址】分享文件： Shizuku.apk 链接： 【备用链接】链接:  提取码:9999 拿走吱一声，不然用不了 拿走吱一声，不然用不了

Google Play 卸载了鸿蒙系统上的拼多多APP

Google Play 卸载了鸿蒙系统上的拼多多APP 在 Google 将拼多多 在 Play 应用商店下架并标注为恶意软件后，一些鸿蒙系统的用户手机出现了一些异常。 推特用户说：Google 把我华为手机上的拼多多给卸载了，在我们鸿蒙系统上胡作非为，谁给他权限删我应用的！

匿名拼多多员工称，公司在 2020 年组建了一支由大约 100 名工程师和产品经理组成的团队，致力于挖掘 Android 手机漏

匿名拼多多员工称，公司在 2020 年组建了一支由大约 100 名工程师和产品经理组成的团队，致力于挖掘 Android 手机漏洞，开发漏洞利用方法，将其转化为利润。 消息源称，拼多多应用的恶意功能最初只针对农村和小城镇的用户，避开北京上海之类大都市的用户，此举旨在降低被暴露的风险。通过收集用户活动的大量数据，拼多多能全面了解用户习惯、兴趣和偏好，改进其机器学习模型，提供更具有个性化的推送通知和广告。 在被曝光之后该团队于三月初被解散。拼多多在 3 月 5 日释出 v6.50.0 更新移除了漏洞利用代码。 匿名员工称，两天之后开发漏洞利用的团队遭到解散。第三天团队成员发现他们被内部使用的工作通讯应用 Knock 锁定，失去了访问内网文件的权限。工程师访问大数据、数据表和日志系统的权限也被撤销。

俄罗斯的卡巴斯基还是耿直，确认了拼多多的脏事。

俄罗斯的卡巴斯基还是耿直，确认了拼多多的脏事。 这个事情第一个爆出来的是不点名的指出有上亿装机量的app像病毒一样给手机安装后门，收集用户个人信息。包括聊天记录，浏览记录，消息，通知，gps，Wi-Fi信息。你能想的到的隐私数据。 后来有安全人员，分析指出这个app就是拼多多。并做了非常详细的分析，发布了中英双语的报告。 详细阐述了android版拼多多是如何偷隐私，装后门的事情。 拼多多采取的策略是 1. 拼多多火速销毁证据。 2. 否认深蓝报告说的就是pdd。 但是爆料者明显有备而来，估计report到Google那边去了，然后google确认后，把拼多多从google商店下架了。 卡巴斯基今天出来又拍了一块砖，以其专业性确认了拼多多确实在装后门。 这个漏洞非常强大：基本上可以完全控制你的android。锁bootloader的android手机也一样。因为pdd是用的0day。 好几年前，阿里巴巴如日中天到时候，一直有人质问上海为什么出不了阿里巴巴。上海憋了一肚子气，结果出来一个拼多多。 仗着地方政府的撑腰，横行霸道。假冒伪劣，盗版侵权横行，砍一刀欺诈。没想到它还长期玩这种黑客手段。真的牛逼！ 这个事情，微博上的日娃跳出来质问有关监管部门为何视而不见。我觉得他估计很快要被禁言了。 另外拼多多和国内安全圈子有个陈年多恩怨。 就是国内有个天才白帽黑客，15岁浙大。19岁杀进defcon决赛的flanker，因为不愿意违法犯罪，放弃进亿的期权，从拼多多离职了。 这件事情惹了众怒。 这次的中英文研究报告，一看就是业内人干的。 take away： 1. 尽量不要使用拼多多系产品。 以前在网上有个骗局就是1块钱买个usb hub/鼠标这种东西。收不到也会给你退钱。你惦记他的鼠标。他惦记你的个人信息。 2. 尽量使用iPhone。

一款专门用来跳过各种广告的app，它能帮助你跳过各种各样的广告，李跳跳无需root权限即可自动查找隐藏的广告并进行拦截，让你轻松

一款专门用来跳过各种广告的app，它能帮助你跳过各种各样的广告，李跳跳无需root权限即可自动查找隐藏的广告并进行拦截，让你轻松玩游戏、看剧、看小说等等，从此不用在等待，右上角导入规则，用mt管理器复制，不知道的可以应用商店下载. #工具 #跳广告 #李跳跳 #派大星