卡巴斯基确认拼多多 APP 的中国版本中存在恶意代码

总部位于莫斯科的卡巴斯基实验室的安全研究人员在 PDD 的中国购物应用拼多多版本中发现并概述了潜在的恶意软件，此前谷歌将其从其安卓应用商店中下架。

在对恶意代码的首批公开报告之一中，卡巴斯基阐述了该应用程序如何提升自身权限以破坏用户隐私和数据安全。它测试了通过中国本地应用商店分发的应用版本，华为技术有限公司、腾讯控股有限公司和小米公司经营着一些最大的应用市场。

卡巴斯基与彭博社分享的调查结果是独立安全团队对上周触发谷歌行动和恶意软件警告的最清晰解释之一。这家网络安全公司在揭露历史上一些最大的网络攻击方面发挥了作用，该公司表示，它发现了早期版本的拼多多利用系统软件漏洞安装后门并获得对用户数据和通知的未授权访问的证据。

这些结论在很大程度上与过去几周在网上发布他们的发现的研究人员的结论一致，尽管彭博新闻社尚未证实早期报道的真实性。

这起安全事件可能会为美国本已激烈的关于中国应用程序数据不安全的言论火上浇油。虽然拼多多主要在中国使用，但 PDD 的另一款应用 Temu——销售从衣服到厨房用品的所有商品——在过去几个月的大部分时间里一直是苹果公司美国应用商店中下载次数最多的应用。它尚未像 ByteDance Ltd. 的 TikTok 那样成为立法者审查的焦点。

来源: https://www.bloomberg.com/news/articles/2023-03-27/pinduoduo-app-malware-detailed-by-cybersecurity-researchers#xj4y7vzkg

neoblackxt

2023-03-29 13:51:14 +08:00

@guazila 他可不止收集通常意义上用户的愿意分享的那些数据，你的聊天记录，app 使用记录，各种搜索记录，你愿意分享吗，就算用户愿意，那些被攻击的 APP 厂商都不愿意。太无耻了，这家公司的软件已经没法用了，就算升级系统了又怎样，他们会继续挖掘新系统的漏洞，使用下三滥的手段他们轻车熟路。

neoblackxt

2023-03-31 21:20:41 +08:00

@0o0O0o0O0o 应该说内的安全厂商、互联网大厂、手机厂商中大多数对此事禁声，而且发声的第一财经文字稿被撤稿 404 ，保留了视频稿（忘了撤？），只有少数国内厂商 darknavy 和个人发声揭露，有的还不能直接提及名讳。这背后的能量是巨大的。上次那个拍加班同事被送上救护车照片的在脉脉上匿名发帖却被直接定位到人的员工被迅速开除，HR 姿态逆天，说明这家公司除了流氓之外还报复心极强，无法无天！什么网络安全法，非法侵入计算机系统罪，在这个公司面前就是废纸一张。

0o0O0o0O0o

2023-03-31 21:55:14 +08:00

@neoblackxt #87 装聋作哑的监管、某多的肆意妄为是丑陋的，这是毋庸置疑的。

我的观点是，这些厂商的噤声也很可疑：
1. 我确信它们知道某多作的恶；
2. 看分析报告也可以知道，某多已经直接侵犯到它们的产品，对这些厂商来说，就算不奢求做生意的人讲道德，那起码要讲利益吧？它们完全可以以别的商业理由起诉，而不只是网络发声（事实上连网络发声也没有）。

所以我只能认为知情不报的安全厂商、互联网大厂、手机厂商与某多是一丘之貉，均不值得信任。