นักวิจัยระบุหลายล้านแอปพลิเคชันเผยข้อมูลผู้ใช้ผ่าน SDK การโฆษณา

ในงาน RSA ที่จัดขึ้นที่ประเทศสหรัฐอเมริกานักวิจัยจาก Kaspersky Lab ได้เผยถึงงานวิจัยว่า “มีแอปพลิเคชันหลายล้าน รวมถึง SDK จาก Thrid-party เผยให้เห็นถึงข้อมูลส่วนบุคคลที่สามารถดักจับและแก้ไขเปลี่ยนแปลงได้ง่าย ซึ่งอาจนำไปสู่การติดมัลแวร์ Blackmail หรือการโจมตีในรูปแบบอื่นต่ออุปกรณ์ต่อไป“

นาย Roman Unuchek ได้กล่าวถึงว่าปัญหาคือข้อมูลนั้นถูกส่งผ่าน HTTP จะถูกดักจับได้ง่ายเพราะไม่มีการป้องกันและถูกแชร์อยู่ในเครือข่าย Wi-Fi หรือ ISP เดียวกัน แม้กระทั่งมัลแวร์ที่อาจฝังอยู่ในเร้าเตอร์ตามบ้านเอง โดยข้อมูลที่ไม่มีการปกป้องเหล่านี้สามารถถูกผู้ร้ายแก้ไขเปลี่ยนแปลง เช่น แก้ไขเพื่อแสดงโฆษณาอันตราย ล่อลวงให้ผู้ใช้โหลด Trojan มาติดตั้งเพื่อนำไปสู่มัลแวร์อื่นๆ ต่อไป เมื่อสืบเสาะกลับไปที่ต้นตอของปัญหาพบว่านักพัฒนาใช้ SDK ที่ผูกติดกับเครือข่ายโฆษณาที่ได้รับความนิยมเพื่อประหยัดเวลา อย่างไรก็ตาม Kaspersky พบว่า SDK เหล่านั้นมีช่องโหว่เนื่องจากไม่มีการปกป้องข้อมูลที่ถูกส่งระหว่างแอปพลิเคชันและเซิร์ฟเวอร์เพื่อการโฆษณา ซึ่งมีแอปพลิเคชันหลายล้านใช้งาน SDK โค้ดเหล่านั้นอยู่เสียด้วย

งานวิจัยที่ Unuchek ทำคือการมุ่งเป้าไปยังแอปพลิเคชันที่ใช้งาน HTTP Request ด้วย Method ของ GET และ POST ซึ่งจากการสำรวจ APK (Android Package) กว่า 4 ล้านแพ็กเกจที่เผยข้อมูลบางส่วนบนอินเทอร์เน็ต นักวิจัยกล่าวว่า “บางแอปพลิเคชันเกิดจากความผิดพลาดของนักพัฒนาเอง แต่ปัญหาข้อมูลหลุดของแอปพลิเคชันยอดนิยมส่วนใหญ่เกิดจาก SDK ของ Thrid-party” นอกจากนี้ Unuchek ได้ยกตัวอย่างว่าเขาพบ JSON ไฟล์ที่ไม่ได้เข้ารหัสซึ่งส่งมาจากเซิร์ฟเวอร์โฆษณาที่ประกอบด้วย วันเกิด ชื่อผู้ใช้งาน ตำแหน่ง GPS และข้อมูลอุปกรณ์

นักวิจัยยังได้แสดงความเห็นเพิ่มเติมว่า “ในกรณีของนักพัฒนาแอปพลิเคชันอันตรายยิ่งแย่เข้าไปใหญ่เพราะนอกจากสามารถขโมยข้อมูลต่างๆ ได้แล้วยังเปิดเผยข้อมูลเหล่านั้นบนอินเทอร์เน็ตเพื่อให้คนอื่นเข้ามาเจาะระบบหรือแสวงหาผลกำไรจากข้อมูลเหล่านั้นได้” อย่างไรก็ตามได้ให้คำแนะนำว่าควรใช้งาน VPN และผู้ใช้ควรกำหนดสิทธิ์ของแอปพลิเคชันให้ดี เพราะหากแอปพลิเคชันร้องขอสิทธิ์มากเท่าไหร่ก็มีแนวโน้มที่จะส่งข้อมูลอย่างไม่มั่นคงปลอดภัยเพื่อการโฆษณามากขึ้นเท่านั้น

——————————————————————–

ที่มา : TECHTALK Thai / April 18, 2018

Link : https://www.techtalkthai.com/kaspersky-says-millions-of-application-expose-personal-data-via-third-party-sdks/

SAN FRANCISCO – Millions of apps leak personal identifiable information such as name, age, income and possibly even phone numbers and email addresses. At fault are app developers who do not protect ad-targeting data transmitted to third-party advertisers.“

“The scale of what we first thought was just specific cases of careless application design is overwhelming,” said Roman Unuchek, security researcher, Kaspersky Lab, who introduced his research here at the RSA Conference on Tuesday. “Millions of applications include third party SDKs, exposing private data that can be easily intercepted and modified – leading to malware infections, blackmail and other highly effective attack vectors on your devices.”

Data sent unencrypted over HTTP can be collected by cybercriminals that share the same Wi-Fi network, or by an ISP or even by malware installed on a target’s home router, researchers said.

Not only can unprotected data be collected, but it can also be intercepted by a cybercriminal who can modify it to show malicious ads, enticing users to download a trojan application, which turn out to be malware, according to Unuchek.

Kaspersky said the origin of the problem can be traced back to the use of predefined and reused SDKs tied to popular advertising networks and used by app developers to save time. An analysis of these predefined SDKs by Kaspersky show many are flawed because they send unprotected user-profile data between the app and the advertisers’ servers. Compounding the problem, the SDK code has been used in millions of apps by developers.

“We searched for the two most popular HTTP requests – GET and POST. In GET requests user data is usually part of the URL parameters, while in POST requests user data is in the Content field of the request, not the URL. In our research, we looked for apps transmitting unencrypted user data using at least one of these requests, though many were exposing user data in both requests,” Unuchek wrote in a research report released Tuesday.

He said 4 million APKs examined exposed some data to the internet. “Some of them were doing it because their developers had made a mistake, but most of the popular apps were exposing user data because of third-party SDKs,” he said.

Researchers did not identify the advertisers or apps behind the SDKs, only stating several millions of apps using popular advertising networks’ SDKs are impacted.

In one example of data leakage, researchers intercepted an unencrypted JSON file being sent from an advertiser’s server. “In this JSON file we found lots of user data, including device information, date of birth, user name and GPS coordinates,” Unuchek wrote.

More alarming yet, researchers said some malicious app developers also transmit data insecurely. “In the case of malware it is even worse because it can steal more sensitive data like SMSs, call history, contacts, etc. Malicious apps not only steal user data but expose it to the internet making it available for others to exploit and sell,” Unuchek wrote.

He advises users to scrutinize app permissions when installing apps. The more permissions requested, the great potential of data sent insecurely to advertisers. He also recommends using VPN.

——————————————————————–

From : THREATPOST / April 17, 2018

Link : https://threatpost.com/millions-of-apps-leak-private-user-data-via-leaky-ad-sdks/131251/

Author: Admin S.10

MILLIONS OF APPS LEAK PRIVATE USER DATA VIA LEAKY AD SDKS

Author: Admin S.10

นักวิจัยระบุหลายล้านแอปพลิเคชันเผยข้อมูลผู้ใช้ผ่าน SDK การโฆษณา

Author: Admin S.10

Related posts

MILLIONS OF APPS LEAK PRIVATE USER DATA VIA LEAKY AD SDKS

Author: Admin S.10

Related posts