研究机构发文披露某国产 APP 恶意利用漏洞，非法提权获取用户隐私及远程遥控，据信该 APP 指的是拼多多

[ViolaH]

原文地址： https://mp.weixin.qq.com/s/P_EYQxOEupqdU0BJMRqWsw

微信公众号「 DarkNavy 」发文，称某互联网厂商 App 利用 Android 系统漏洞提升权限，进而获取用户隐私及阻止自身被卸载。

该互联网厂商在自家看似无害的 App 里，使用的第一个黑客技术手段，是利用一个近年来看似默默无闻、但实际攻击效果非常好的 Bundle 风水 - Android Parcel 序列化与反序列化不匹配系列漏洞，实现 0day/Nday 攻击，从而绕过系统校验，获取系统级 StartAnyWhere 能力。

提权控制手机系统之后，该 App 即开启了一系列的违规操作，绕过隐私合规监管，大肆收集用户的隐私信息（包括社交媒体账户资料、位置信息、Wi-Fi 信息、基站信息甚至路由器信息等）

之后，该 App 进一步使用的另一个黑客技术手段，是利用手机厂商 OEM 代码中导出的 root-path FileContentProvider ， 进行 System App 和敏感系统应用文件读写；

进而突破沙箱机制、绕开权限系统改写系统关键配置文件为自身保活，修改用户桌面(Launcher)配置隐藏自身或欺骗用户实现防卸载；

随后，还进一步通过覆盖动态代码文件的方式劫持其他应用注入后门执行代码，进行更加隐蔽的长期驻留；

甚至还实现了和间谍软件一样的遥控机制，通过远端“云控开关”控制非法行为的启动与暂停，来躲避检测。

[kice]

记得去年还是怎么样这个知乎上有人扯过这个问题。说是 pdd 会绕过了用户授权，强行进行添加桌面图标。

不过现在看上去因为也没有干出什么“坏事”，估计也不会被相关部门处理。看看 315 会不会提起这事？

[vrqq]

想起一个陈年旧闻 某全家桶 sdk 内嵌"后门"被利用

[youmilk]

直接点名 github.com/davinci1010/pinduoduo_backdoor

[Cambra1n]

太离谱了......

[pengrui2016]

所以有老哥能把它做的这些做个 demo 嘛