Čínska aplikácia už napadla milióny Android smartfónov

Aplikácia sa istú dobu vyskytovala aj v obchode Google Play Store.

Aplikácia s názvom Pinduoduo patrí čínskej holdingovej spoločnosti PDD Holdings. Pinduoduo funguje podobne, ako internetový obchod AliExpress, teda vytvára jedno veľké virtuálne trhovisko. Aplikácia postupne získava na obľube a pomerne rýchlo dobieha konkurenciu v podobne AliBaby a JD.com na domácom čínskom trhu. Lenže výskumníkom zo spoločnosti Lookout sa podarilo objaviť dve verzie aplikácie Pinduoduo, ktoré obsahujú závažné zraniteľnosti vedúce k ovládnutiu napadnutého smartfónu. K ovládnutiu zariadení s OS Android je využívaná "0-day" zraniteľnosť. Presnejšie sa jedná o exploit CVE-2023-20963.

Aplikáciu približne pred dvoma týždňami odstránila spoločnosť Google zo svojho obchodu Play Store. Bohužiaľ Pinduoduo je naďalej dostupné v alternatívnych obchodoch s aplikáciami. Voči obvineniu sa ohradila spoločnosť PDD Holdings, ktorá odmieta, že by aplikácia Pinduoduo napádala smartfóny. Zároveň spoločnosť netuší, z akého dôvodu bola aplikácia pozastavená v obchode Google Play, nakoľko nedostali konkrétne dôvody.

Firme zaoberajúcou sa kybernetickou bezpečnosťou - Lookout, sa spočiatku nedarilo aplikáciu Pinduoduo zanalyzovať. Následne sa na na webovej stránke GitHub objavil príspevok s názvom Pinduoduo backdoor, od používateľa - davinci1012. Príspevok sa odvolával na výskumnú skupinu Dark Navy, pričom obsahoval aj postupy, aby mohli výskumníci spoločnosti prelomiť obrany voči analýze kódu aplikácie. O niekoľko dní neskôr sa objavil ďalší príspevok od používateľa davinci1012, s podrobnejšími informáciami, načo následne zareagovala spoločnosť Google, ktorá Pinduoduo stiahla zo svojho obchodu.

Aplikácia Pinduoduo má znemožňovať svoje odinštalovanie a zároveň inštaluje bez vedomia majiteľa smartfónu ďalšie programy. Zároveň tak prebieha krádež osobných informácií, či prístupov na rôzne služby. Na získanie práv využíva aplikácia reťazec "EvilParcel", vďaka čomu je možné získanie rôznych práv potrebných pre ovládnutie napadnutého zariadenia.

Zdroj: ArsTechnica,