文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

大疆无人机被指存在安全漏洞,欲加之罪还是隐私威胁?

2024-12-11 18:15

关注

这份由网络安全公司Synacktiv和GRIMM提供的报告发现,DJI的Go 4 Android应用程序不仅要求广泛的权限许可及收集个人数据(IMSI,IMEI,SIM卡的序列号),还采用了反调试和加密技术来阻止安全性分析。

Synacktiv表示:“这种运行原理与C&C服务器中的恶意软件非常相似。”

”因为DJI GO 4需要获取用户的多项权限,包括联系人、麦克风、摄像头、位置、存储、网络连接更改,所以DJI或微博中文服务器几乎可以完全控制用户设备。”

该Android应用程序在Google Play商店的安装次数超一百万。但是,该应用中识别出的安全漏洞不影响未混淆及无隐藏更新功能的iOS版本。

“不为人知”的自我更新机制

GRIMM表示,这项研究是针对一个匿名的国防与公共安全技术供应商的安全审核而进行的,该审核旨在“调查Android DJI GO 4应用程序中DJI无人机的隐私问题”。

在对应用程序进行反向工程时,Synacktiv发现了URL(“ hxxps://service-adhoc.dji.com/app/upgrade/public/check”)的存在,该URL用于下载应用程序更新并提示用户授予“ 安装未知应用程序 ” 权限。

研究人员说:“我们修改了此请求,因为它会触发对任意应用程序的强制更新。首先,提示用户授权安装不受信任的应用程序,此外还会在通过阻止使用来强制用户更新。”

此功能不仅直接违反了Google Play商店指南,也产生了很大影响。攻击者可能会入侵更新服务器,使用恶意应用程序更新来锁定用户。

更令人担忧的是,该应用即使在关闭后仍继续在后台运行,并利用微博SDK(“ com.sina.weibo.sdk”)安装任意下载的应用,使得微博直播用户自动发布无人机视频。GRIMM表示,没有发现任何证据证明该恶意软件已被利用。

除此之外,研究人员发现该应用程序利用MobTech SDK的优势来悬停有关手机的元数据,包括屏幕尺寸,亮度,WLAN地址,MAC地址,BSSID,蓝牙地址,IMEI和IMSI编号,运营商名称,SIM序列号,SD卡信息,OS语言和内核版本以及位置信息。

DJI反对调查结果

DJI 称调查结果为“典型的软件问题”,对该研究提出异议,并称“美国国土安全部(DHS),Booz Allen Hamilton和其他人的报告,均未发现DJI为政府和专业客户设计的应用程序中存在意外数据传输连接的证据。

该公司表示:“没有证据表明它们曾被利用过,也没有用于政府和专业客户的DJI飞行控制系统中,且无法自行重启。”

“在新的版本中,用户也可以从所在国家/地区下载Google Play的正式版本。如果用户不下载,出于安全原因,将禁用其未经授权(被黑客入侵)的应用程序版本”。

大疆创新是全球最大的商业无人机制造商,与其他中国公司就国家安全问题受到越来越多的审查,美国内政部于今年1月初将其DJI无人机机队停飞。

去年五月,国土安全部曾警告许多公司,如果它们使用在中国制造的商用无人机,其数据可能会受到威胁,包含数据被破坏、在公司外的服务器上发生信息共享等风险。

“这项决定明确表明,美国政府对DJI无人机的关注是是因为DOI机队的原因(注:DOI的整个机队都使用中国制造的零件,大疆是其零件供应商之一)。这与安全无关,而是出于部分政治动机,旨在减少市场竞争并支持国产无人机技术。”该公司在1月份的一份声明中表示。

 

来源:FreeBuf内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯