近日美國手機安全公司Bluebox稱，中國最暢銷的Android手機小米4 LTE版預裝了惡意APP，并且存在多項安全漏洞。 小米被稱作“中國的蘋果”，它的智能手機價格低廉，同時提供了那些出色的智能手機幾乎所有功能，性價比極高。和其他小米手機系列一樣，米4 LTE同樣吸引了大量消費者。在印度，25，000部小米手機在15秒內即告售罄。
Bluebox：兩處嚴重安全問題
Bluebox公司的安全研究人員Andrew Blaich周四透露，經過獨家測試，新款小米米4手機中存在兩處嚴重安全問題：
1、預裝了被標識為惡意軟件的app2、使用了未經認證的Android操作系統，對用戶來說可能是嚴重的安全風險
問題1：預裝惡意APP
研究人員使用幾款惡意軟件掃描器進行掃描，發現米4 LTE智能手機內置6款可疑應用，這些應用被標記為惡意軟件、間諜軟件或者廣告軟件。
其中一個名為Yt Service(Yt服務)的可疑APP是一款被識別為DarthPusher的廣告軟件。這款軟件與眾不同的地方在于，它將自己偽裝成一個直接來自Google的APP，而一般的Android用戶都認為在Android設備上有來自Google的預裝應用很正常。
Andrew Blaich周四在一篇博客中寫道：
“很有趣，雖然這個應用名為Yt Service，包名叫做com.google.hfapservice 。但請注意，這個app并非來自Google官方。”
同時米4中還有一些可疑APP：
1、PhoneGuardService (com.egame.tonyCore.feicheng) – 被反病毒軟件標記為木馬，它可以讓罪犯劫持手機。這款應用的名字足以蒙蔽用戶。
2、SMSreg - 被殺毒軟件公司識別為惡意軟件
3、AppStats – (org.zxl.appstats)被識別為風險軟件
Bluebox公司的安全研究人員總共發現了6款可疑應用，他們的行為與惡意軟件、間諜軟件和廣告軟件很相似。
問題2：定制版本的Android ROM
市面上有兩種定制Android ROM——“兼容的”和“非兼容的”。
兼容定制的Android ROM是基于Android開源項目(AOSP)修改的，遵從Android兼容性定義文檔(CDD)，并且通過了兼容性測試工具(CTS);而“非兼容”的ROM是基于Android開源項目(AOSP)修改的，但建立的是自己的生態系統。
米4上的Android版本有點像是Kitkat， Jellybean， 甚至更早期的Android版本的混合。
研究人員使用了他們的手機安全評估工具Trustable對米4進行了分析，發現該手機能被許多最近發現的安全漏洞攻擊，如Masterkey， FakeID和Towelroot (Linux futex)。
問題3：米4中的安全漏洞
Bluebox的研究人員稱，除了僅在4.1.1版本存在的心臟出血漏洞外，米4手機上還包含多項重大安全漏洞。
其他可疑情況
研究人員還發現，手機的外部存儲空間中有一個隱藏的目錄，目錄中包含幾個貌似是用來跑分的Android程序。有些應用被重新簽過名，使用了與原來軟件廠商不同的key，這也就意味著應用可能被篡改過。
另外，研究人員還注意到他們的Bluebox安全掃描器出現在了小米市場中，但他們從未在小米市場發布過該應用。
小米官方回應
小米發言人在一封致“The Hacker News”的電子郵件中稱：
“我們現在正在調查事件。Bluebox的博文中有明顯錯誤。官方的小米設備不會默認root，并且沒有預裝惡意軟件。因此，我們肯定Bluebox所測試的設備并非標準的MIUI ROM。很有可能Bluebox所獲得的米4經過了篡改，因為手機是從非官方渠道購買的。我們的渠道只有Mi.com和某些合作伙伴諸如運營商。另外，與Bluebox博客中所述不同的是，MIUI是真的Android系統，遵循Android CDD(Android兼容性定義文檔)，并且MIUI通過了所有的CTS測試，保證所有設備都符合CDD，無論是中國版還是國際版。”
小米M4 |
小米手機 | |||||||||||||||
|
||||||||||||||||
