酷派被國外安全研究公司Palo Alto Networks發(fā)現(xiàn)故意在其二十多款機型中安裝了一個名為“CoolReaper”的后門，它可以在用戶未允許的情況下安裝未知應用、可以任意發(fā)送短信或撥打電話、清除用戶信息、通過偽裝OTA軟件升級安裝其他應用，并且會上傳設備信息至酷派服務器。但隨后酷派官方回應稱：“CoolReaper”程序實為酷派應用商店的支撐服務，用來為用戶推送新版軟件、分析發(fā)現(xiàn)終端上的惡意軟件并向用戶預警、提示卸載，其目的是為了給用戶提供更好的安全體驗。不過由于管理疏忽，該軟件被不恰當?shù)挠糜诮o用戶推送軟件升級通知和促銷廣告。一個說是“后門”，一個說是“支撐服務”，“CoolReaper”到底是什么？
“CoolReaper”到底是什么？
關于“CoolReaper”的問題，我特意找了一位安全領域的朋友了解了下相關情況。據(jù)他分析“CoolReaper”應該是DMP程序，這種程序一般都被手機廠商用在三個方面，一是保護手機自帶系統(tǒng)軟件不被惡意軟件卸載；二是為應用商店提供軟件下載更新；三是輔助OTA。
注意，看到這里可能大家都覺的“CoolReaper”是安全的，沒有問題的，但事實并非如此！如果依照Palo Alto Networks和烏云這樣的機構通過代碼反編譯獲取部分代碼進行行為猜測的話，“CoolReaper”是可以實現(xiàn)在用戶未允許的情況下安裝未知應用、可以任意發(fā)送短信或撥打電話、清除用戶信息、通過偽裝OTA軟件升級安裝其他應用，并且會上傳設備信息至酷派服務器等一些列行為的。換句話說，“CoolReaper”盡管是被開發(fā)出來用作系統(tǒng)正規(guī)服務的程序，但是確實存在安全隱患，可以被當做“后門”來使用。
酷派利用“CoolReaper”都做了些什么？
“CoolReaper”在酷派手機系統(tǒng)支撐方面的服務肯定有，但是我們在此就不做展開，主要討論的還是它的爭議點。從目前看到酷派用戶的反饋點來說，主要有兩個方面：第一，推送廣告�！癈oolReaper”其實就是“CP_DMP.apk”，在之前的安卓技術論壇，就有人不堪酷派的廣告騷擾憤而刪除此程序，但結果恰恰證明，酷派確實是利用這個程序在推送各種促銷廣告。第二，偽裝OTA系統(tǒng)升級，安裝用戶不需要的程序。這一點盡管酷派官方回應說只是彈框提示升級官方軟件，但確實給用戶造成了困擾。從這兩點上來說，酷派確實已經犯了無法推卸的錯誤，不僅嚴重破壞了用戶體驗，而且還造成“CoolReaper”成為“后門”的重大嫌疑！
除了以上兩點，“CoolReaper”被Palo Alto Networks和烏云描述為還有其他“功能”。清除用戶數(shù)據(jù)，卸載現(xiàn)有應用以及禁用系統(tǒng)應用，這個功能盡管目前很多管家甚至APP商店都具備此功能，我個人覺的這項功能并沒有什么問題，也沒有證據(jù)表明酷派使用過這項功能。向手機中發(fā)送或插入任意短信或彩信；撥打任意手機號碼，這兩項功能很有意思，盡管酷派解釋是為了分享和售后服務的便利，但我個人卻認為，這兩項功能應該是為將來的推送“促銷廣告”做準備的，目前并沒有開啟。向酷派服務器上傳設備信息，包括地理位置、應用使用、電話、短信等歷史記錄，目前只要是個APP幾乎都要讀取這些信息，似乎已是司空見慣，但作為罪名的一項，卻是有點吹毛求疵了，話又說回來，廠商手機這些信息也是沒有多大用處，但尬尷的是“CoolReaper”確實具備這個功能。
廣告并不能成為危及公眾安全的借口
在酷派官方的回應中，把此次“CoolReaper”對用戶造成的安全危害，完全推到自己用來推送“促銷廣告”的疏忽上，我認為是極其的不負責任。盡管“CoolReaper”并非是為黑客活動而開發(fā)（否則就是違法了�。�，但是卻間接地對酷派用戶的安全造成了巨大威脅�！癈oolReaper”極其容易被惡意黑客利用，對用戶隱私和財產安全造成不利影響。但在事件的背后，我也在思考，在大規(guī)模推送廣告對用戶已經構成困擾的情況下，酷派官方難道沒有收到反饋？為什么沒有采取行動，任由這種行為持續(xù)以致造成今天的惡果？
在如今的傳統(tǒng)互聯(lián)網市場乃至移動互聯(lián)網市場，彈窗廣告和應用分發(fā)已是相對成熟的廣告盈利方式，很多有大量用戶基數(shù)的產品都在投放這一類型廣告。于是乎，在利潤的誘惑下，很多廠商背離了用戶體驗為王的根本，千方百計的追逐廣告效益的最大化。像“CoolReaper”推送廣告的這種行為，無論你怎么root和卸載應用程序，都無法避免的要接受廣告的騷擾，頑固的近乎流氓。不可否認的是，如果沒有大量的廣告利潤的趨勢，也許不會有“CoolReaper”這樣的程序存在，或許說及時存在，也許“神通”不會這么廣大。但我想說的是，無論怎樣，廣告并不能成為危及公眾安全的借口，酷派應該反思，自重！
作者：佚名 來源：廣告買賣網
上篇：
下篇：
甘公網安備 62010002000030號