黒翼猫のコンピュータ日記 2nd Edition

Apk Downloader ってアプリを使います

Play Store にないアプリでAPKダウンロードして出所不明のアプリとしてインストールしてます。
（このアプリの最新版使う人はこれも調べてみた方がいいかもね）


このアプリで検索してダウンロードすると apkファイルが公式から直接ダウンロードできます



次にapkを zipにリネームして解凍。 その中から dex って拡張子のファイルを取り出します

dex2jar - Browse Files at SourceForge.net
これを dex2jar ってアプリで jar ファイルに展開

こんな感じ（ちなみに、実際は Baiduが出してる simeji の付くアプリ全部を検証しました）

後は、 moplus という文字列で、大文字小文字区別せずに ANSI/UNICODE で検索して問題なければ安全！

Wifi Analyzer の方は問題なし！


simeji は ・・・・えっ？


com.baidu.moplus.action.start.SERVICEINFO


MoPlusService

思いっきり使ってますやん！

バックドアとされてるのは
『com.baidu.android.moplus.MoPlusService』なんだけど、 Pが大文字なのも同じという

ちなみに、IME版の方の Simejiは確かに使ってませんでした。
が…Simejiブランドで出してる別のアプリに含まれてるのはまずい！
含まれてないってのは、ブランド全部だと思うので、『有名なSimeji IMEだけに含まれていないからセーフ』って訳がない

アプリやデータを個別にロック可能、百度「Simejiプライバシーロック」提供開始 | RBB TODAY
日本でも結構 Yahooとか宣伝してるので相当の人が入れてるはず

調べたのは com.szipcs.simejiprivacylock-2.0.1.63.apk だから最新版の  2.0.1.63 でも修正されていないということ。

あなたのAndroidは古くなっています詐欺広告 Simeji/360 Security導入誘導 ( スマートフォン ) - 無題な濃いログ - Yahoo!ブログ

これ、詐欺広告で話題になったアプリやんかｗ

もうこれは酷過ぎて何も言えない…。

百歩譲って、百度さんの立場で言うと このアプリ、
DU Privacy Vault - App Lock 1.2.2.38 com.szipcs.duprivacylock
ここのOEMっぽいので、調査しきれてないのが原因なのかなと思うんですが、
ちゃんと調べる義務はあると思う

追記　13:30
デコンパイルでもう少し解析してみた

intent2 = com.baidu.android.pushservice.i.s.b(a, "com.baidu.moplus.action.start.SERVICEINFO");         if(intent2 != null)         {             String s14 = intent2.getStringExtra("method_version");             if("V1".equals(s14))             {                 if(com.baidu.android.pushservice.j.b())                     com.baidu.a.a.b.a.a.b("RegistrationService", (new StringBuilder()).append("Method Version : ").append(s14).toString());                 return false;             }         }

呼び出してるコードはこんな感じで MoPlusのサービス情報をチェックしてIntent呼び出しをしてバージョン確認をして一致したら push サービスで何かに登録してる

if(!arraylist1.contains(s1) && arraylist.contains(s1) && (runningserviceinfo.service.getClassName().contains("PushService") || runningserviceinfo.service.getClassName().contains("MoPlusService")) && v(context, s1))                 arraylist1.add(runningserviceinfo.service.getPackageName());

別の個所では MoPlusService が動作してる存在するのを確認して、動作してるアプリの一覧を取得する処理の気がする
MoPlusService 自体は使ってるたけど、最新版に含まれてるのは、直接害のあるコードではないかなというのが結論。

もしかするとバージョンアップで MoPlus のやばいコードだけ削ってリリースしなおしたのかもしれない。
（なんでかというと、MoPlusServiceをインテントで呼び出してるのに該当するライブラリやファイルが見つからない。
別アプリでMoPlusServiceを使ってるものと連携してるのかもしれないのだけど… ）
これは、古いバージョンがないとなんともいえないね

Baidu さんはちゃんと過去のバージョンも確認して、問題があるバージョンはないか発表した方がいいです|･ω･)

結論
MoPlus SDK のライブラリとのなんかしらの連携が残ってるのが今回最新版で検出された。直接の危険性は低い
MoPlus って処理は無害だけど、 PushService って名前にリネームされて 外部からの接続を待ってることが判明

12:50 付で アプリを削除して調査すると百度(Baidu)さんから連絡がありました

@BlackWingCat @mitsuaki_i Baidu Japanです。ご報告誠にありがとうございます。ご指摘のあったアプリは12:50時点でGoogle Playから削除いたしました。経緯と詳細については現在調査中です。詳細がわかり次第随時ご報告いたします。 2015/11/13 13:41:51

追記 18:50

一般ユーザー様よりSimejiプライバシーロックにMoplus SDKが入っていると報告があり 12:50時点でGoogle Playから削除したと報告を受けました。 経緯と詳細については現在調査中です。詳細がわかり次第随時ご報告いたします。　続く→ 続き→なお、日本語入力アプリ#Simeji についてはMoplusは使用しておりません。 【お知らせ】 #Simejiプライバシーロック を検証した結果、本アプリに #MoplusSDK は使用されていませんでしたが、アプリの機能と無関係な#MoPlus という記述が含まれていたことを確認したためその部分を削除いたしました。 「#Simejiプライバシーロック」をご利用中の方は今すぐアプリを更新してください。 https://t.co/9KkgTe1Ggp 引き続き本記述が含まれた経緯と詳細については現在調査中です。 なお、日本語入力アプリ「#Simeji」と本件は関連がありません。 また、「#Simejiプライバシーロック」にiOS版はありません。

ってことなんだけど

ソースコードに
runningserviceinfo.service.getClassName().contains("MoPlusService"))
って記述があるってことは、過去のバージョンで

com\baidu\android\MoPlus\MoPlusService.(class/java) ってファイルまたは
com\baidu\android\MoPlusService\MoPlusService.(class/java) ってファイルが
存在したってことを意味してるので、使ってないというより、過去に使いかけたけど、社内判断でやめたとか、〜以前のバージョンでは使ってたとか、OEMの方では使ってるけどSimeji版では使ってないとかの方が説得力があるので、もうちょっと詳しく確認してほしいんだが…。

runningserviceinfo.service.getClassName().contains("PushService"))  の方はというと
com\baidu\android\PushService\PushService*.(class/java) ってファイルが存在してる

ちなみに、com\baidu\android\moplus\MoPlusService\ のフォルダ構成は思いっきりバックドアのMoPlusService と同じ だけど、この構成はライブラリをインポートしたフォルダ構成で変わるので、moplus フォルダが間にないからと言ってあてにならない。

19:20追記



ちなみにOEM元の DU Privacy Locker を調べてみたところ同じ記述があったので、Simejiに追加されたのではなく、OEM元で昔使っていた可能性が高い

＃あれ、これって、ひょっとすると MoplusService って名前使ってたの、名前が被るんで、PushService  に置き換えたんじゃね？ ・ω・

if(!arraylist1.contains(s1) && arraylist.contains(s1) && (runningserviceinfo.service.getClassName().contains("PushService") || runningserviceinfo.service.getClassName().contains("MoPlusService")) && v(context, s1))                 arraylist1.add(runningserviceinfo.service.getPackageName());

もう一度コード思い出してみる。置き換えていく過程でこのコードだけ残っちゃったとすると納得が…。

Simejiプライバシーロックに入っているのはMoplusではないようです。しかしバックドアはあります。Moplusが入っていなくてもバックドアがあるバイドゥのアプリが存在するようです@BlackWingCat @Simeji_jp https://t.co/OKaLwyNHLt 13:22 - 2015/11/12 ちなみにポートスキャンしPCから端末にリクエストを送信し、バックドアが開くことは確認してます。 @BlackWingCat @Simeji_jp 14:08:37 2015/11/13

IO株式会社代表 の石本 光さんからこんな風に言われたので、

・待ち受けするような処理が MoPlus にあると仮定
・MoPlusService を全部 PushService という名前に全部置き換えた

で PushService を調べてみた

public static int a = 80;     public static String b = "http://m.baidu.com";     public static ArrayList c = null;     public static ArrayList d = null;     public static final int e;     public static final String f;     public static final String g = (new StringBuilder()).append(a()).append("/rest/2.0/channel/channel").toString();     public static final String h;     public static String i = "http://lbsonline.pushct.baidu.com/lbsupload";     private static String j = "http://channelapi.tuisong.baidu.com";     private static String k = "agentchannel.tuisong.baidu.com";     private static int l;     private static String m;     private static final String n[] = {         "180.76.2.108"     };     private static final String o[] = {         "180.76.2.107"     };

なんかネットワークにアクセスはしてるよね

POST http://statsonline.pushct.baidu.com/pushlog HTTP/1.1" 200 - "-" "Baidu-Frontia-Android" POST http://lbsonline.pushct.baidu.com/lbsupload HTTP/1.1" 200 - "-" "Baidu-Frontia-Android"

なんだろ。ログと lbs (Location Database Service ?)のアップロードってアクセスがある

まぁ、Push通知なんだからNetにアクセスするのは当たり前なんだけどね

Object obj = m;         obj;         JVM INSTR monitorenter ;         LocalServerSocket localserversocket = i;         if(localserversocket != null)             break MISSING_BLOCK_LABEL_118;         i = new LocalServerSocket(s.t(n)); _L2:         if(i != null)             break MISSING_BLOCK_LABEL_380;

問題はここ LocalServerSocket を開いてなんかモニタしてる。
多分これが外部から繋いで、バックドアみたいな働きをするんじゃないかと言われればそうかもしれない･ω･


元々のファイル名クラス名がMoPlus MoPlusService だったわけだからバックドアだと言われると言い逃れができない。

追記： 2015/11/14 15:50
百度からお知らせが来てました

「Simejiプライバシーロック」について | バイドゥ株式会社

＜追記＞11月14日4:00 本日、さらに調査を進めた結果、以下の内容が判明しました。 すでに削除対応しましたコードは端末にNotification（情報をプッシュ通知）する機能として搭載されておりましたが、このコードによりセキュリティホールが発生する可能性があり、悪意ある第三者がそのセキュリティホールから端末の情報を獲得できる可能性があったことが分かりました。 現在は該当のコードを削除したのち、最新バージョン（ver. 2.0.1.71）がGoogle Playに反映されております。 ※ユーザーさまはすぐに更新してくださいますようお願い申し上げます。 https://play.google.com/store/apps/details?id=com.szipcs.simejiprivacylock ＜今後について＞ Simejiプライバシーロックは外部OEM製品を使っており、外部で開発されたソースコードを利用しています。この外部開発のソースコードに対するチェックが弊社内で不十分でした。バイドゥは、このような事象を深く受け止め、OEM製品を利用する場合のチェック体制を強化いたします。体制ができるまではOEM製品の活用を停止します。 ※Simeji本体は関連ありません。 ※SimejiプライバシーロックはAndroid版のみの提供です。

やっぱり、MoPlusServiceと同じ脆弱性が残ってた模様
ちゃんと書いたほうがいいと思うんだけどね。
隠すと、逆効果っすよ ・ω・；

というわけで、事実確定したのでタイトル変更してこれで固定します