Android is perfecte drager voor Chinese spionagesoftware

Het nieuws van de Chinese spionagesoftware kwam aan het licht dankzij diepgaand onderzoek van Kryptowire, een beveiligingsfirma. Enkele van hun contractors hadden een goedkope 50 dollar smartphone gekocht om tijdelijk overzees te gebruiken. De spotgoedkope smartphone van Blu had een HD-scherm en snelle dataverbinding, zonder contract. Te goed om waar te zijn, zo blijkt. Het toestel stuurde namelijk elke 72 uur berichten naar China met gevoelige informatie.

Geen malware

De New York Times dook dieper in het verhaal. De software die privégegevens naar China verstuurde, is geen malware maar effectief vooraf geïnstalleerde software door de fabrikant. Adups Technology, het bedrijf uit Shanghai dat achter de spionage zit, laat op hun website weten dat de code op meer dan 700 miljoen toestellen draait. Blu, een Amerikaans smartphonemerk, heeft alvast de berekening gemaakt dat 120.000 toestellen de software bevatten.

Dankzij een firmware update is de software van Adups direct van het toestel verwijderd, zodat alle toestellen die nu buiten China worden verdeeld, vrij zijn van spionage. Blu bevestigt ook in een statement dat alle vergaarde informatie van Blu-klanten gewist is.

Geen Google-diensten

Adups Technology claimt trouwens dat het niet verantwoordelijk kan worden gesteld, omdat het enkel maar opdrachten uitvoert voor andere partijen. De telefoonfabrikant moet aan de gebruiker duidelijk maken dat bepaalde data wordt verzameld, niet Adups Technology. De software is specifiek ontwikkeld om Chinese smartphonemakers de mogelijkheid te geven om gebruikers te analyseren. Het is enkel bedoeld voor de Chinese markt en mag daarbuiten niet worden gebruikt. Blu heeft een fout gemaakt, die het onmiddellijk ook heeft rechtgezet.

Google was hierover niet op de hoogte en benadrukt dat alle Androidtoestellen waar Google-diensten op staan, niet met deze software mag worden geleverd. In China worden echter heel wat smartphones met Android voorzien, maar zonder de Google-diensten wegens censuur. Net die restrictie zet de deur wagenwijd open voor een vrij beheer van extra software dat elke fabrikant kan installeren binnen Android. Alle smartphones met Google-diensten die toch software van Adups bevatten, zijn in fout.

Chinese overheid?

Zit de Chinese overheid hier voor iets tussen? Niet in dit geval. Adups verduidelijkt dat deze software voor een specifieke Chinese fabrikant werd geschreven die allerlei data wilde ontvangen zoals: belhistoriek, berichten, geolocatie en andere data. Het Chinese bedrijf gebruikte de vergaarde data voor hun service na verkoop als klantenondersteuning.

Omdat Adups geen lijst heeft met telefoons waarop hun software draait, is het moeilijk om in te schatten hoe groot de spionage is. Op hun website vinden we dat ze “big data”-diensten aanbieden waarmee bedrijven hun klanten beter kunnen begrijpen.

Enkel in China?

The Verge heeft nog een extra statement kunnen loskrijgen van Blu: In juni 2016 hebben sommige Blu-toestellen een versie van de Adups applicatie ontvangen. Hiermee kreeg Adups ook de extra functionaliteit om berichten en telefoontjes te verzamelen die klanten van hen willen. De data werd niet met andere partijen gedeeld en is nu verwijderd, aldus Blu.

Dit probleem is per toeval aan het licht gekomen dankzij aandachtige veiligheidscontractors die opvallende netwerkactiviteit noteerden. Het valt moeilijk in te schatten in hoeverre er andere bedrijven zulke praktijken uitvoeren, en op welke schaal.