酷派手机无节操留后门

　　酷派被国外安全研究公司Palo Alto Networks发现故意在其二十多款机型中安装了一个名为“CoolReaper”的后门，它可以在用户未允许的情况下安装未知应用、可以任意发送短信或拨打电话、清除用户信息、通过伪装OTA软件升级安装其他应用，并且会上传设备信息至酷派服务器。但随后酷派官方回应称：“CoolReaper”程序实为酷派应用商店的支撑服务，用来为用户推送新版软件、分析发现终端上的恶意软件并向用户预警、提示卸载，其目的是为了给用户提供更好的安全体验。不过由于管理疏忽，该软件被不恰当的用于给用户推送软件升级通知和促销广告。一个说是“后门”，一个说是“支撑服务”，“CoolReaper”到底是什么?

　　“CoolReaper”到底是什么?

　　关于“CoolReaper”的问题，我特意找了一位安全领域的朋友了解了下相关情况。据他分析“CoolReaper”应该是DMP程序，这种程序一般都被手机厂商用在三个方面，一是保护手机自带系统软件不被恶意软件卸载;二是为应用商店提供软件下载更新;三是辅助OTA。

　　注意，看到这里可能大家都觉的“CoolReaper”是安全的，没有问题的，但事实并非如此!如果依照Palo Alto Networks和乌云这样的机构通过代码反编译获取部分代码进行行为猜测的话，“CoolReaper”是可以实现在用户未允许的情况下安装未知应用、可以任意发送短信或拨打电话、清除用户信息、通过伪装OTA软件升级安装其他应用，并且会上传设备信息至酷派服务器等一些列行为的。换句话说，“CoolReaper”尽管是被开发出来用作系统正规服务的程序，但是确实存在安全隐患，可以被当做“后门”来使用。

　　酷派安全手机六宗罪

　　危害一： 在未经用户同意或发出通知的情况下，下载、安装、激活任意Android应用。

　　我的看法：DMP 具备软件的下载，安装，激活功能，这个是程序本身的能力，其具体过程为，如果应用商店的WI-FI下自动升级功能(通过开关控制开启或关闭)开启，检测到新版本时，会提醒用户进行下载更新版本，用户确认后，会一键进行下载安装，下载安装完成后，会提醒用户选择确定还是立即激活应用体验。

　　为了提升用户体验，有些厂商的OS会支持静默安装功能，减少用户操作步骤，但如果在未经用户同意的情况下进行应用激活，这是不允许的，这个情况在我曾经测试过的酷派手机上没有发现，包括近期酷派S6、大神系列的多款手机上也没有发现。

　　危害二：清除用户数据，卸载现有应用以及禁用系统应用;

　　我的看法：首先“清除用户数据”这个猜测是有偏差的，我就此专门咨询了酷派的产品设计人员，DMP设计此功能的首要目的是针对酷派自身应用软件，前期有用户投诉酷派部分应用软件存在长时间运行后数据损坏或异常，无法正常使用，即使OTA也无法解决，因此在设计DMP时添加了删除指定应用数据的功能，如果用户出现应用数据损坏并主动申请强行处理时，能对该用户的需求进行响应。至于DMP 管理服务程序具备卸载应用的功能，在设计时主要考虑是国内手机从出厂到销售，中间存在渠道刷机环节，有些渠道为了提升收入，会在手机销售之前刷机植入软件，导致手机存储空间和内存空间被占用，用户后续使用手机时出现卡顿，更严重的是OTA官方软件版本会一直失败，因此需要提醒用户卸载不必要、一直不使用的应用程序，这部分功能移植到酷管家中了，在DMP中实际没有使用。第三个禁用系统应用功能，手机厂家应用较多，有些用户希望自己下载第三方应用替换原厂应用，而原厂应用一般是不可删除和卸载的，只能禁用，因此针对用户的需求，DMP提供了禁用系统应用功能，设计目的是针对酷派自带的原厂应用。

　　危害三：通知用户进行伪造OTA升级，实际安装用户不想要的应用

　　从市场的角度来说，移动互联网分发模式赚钱谁都清楚，但是只为了几个软件就OTA一下，这样的处理手段显得太初级了。该项功能实际上是弹框提示用户升级酷派官方软件。大家都知道，手机在出厂后，由于持续提升用户体验，软件版本经常需要更新。传统的做法，是为了升级一款APP，需要出整体的OTA ROM包进行升级，一方面整机ROM出版本升级开发成本较高，时间周期较长，而且用户升级ROM需要重启手机才能完成，用户体验不好。所以酷派增加了一项新的功能，对系统APP单独进行升级，减少流量消耗，简化操作，提高用户体验。当有版本更新时，会弹框提示用户进行下载升级，目前这种做法在智能手机中普遍应用。

　　危害四：向手机中发送或插入任意短信或彩信

　　酷派的应用商店在产品规划时有一项功能，当用户发现好的应用，希望分享给好友时，能通过短信分享应用商店下载链接，邀请好友下载使用，故在DMP中有相关的短信处理代码。而我在最终应用商店的发布版本中，并没有找到这项功能，该功能应该实际一直处于未启用状态。

　　危害五： 拨打任意手机号码

　　酷派应用商店目前有30万以上的APP，用户在使用过程中可能存在兼容性问题，为了给用户提供更方便快捷的反馈渠道，酷派在产品设计上增加了一项功能，用户在使用过程上如果有任何问题，可以调用酷派客服打电话，目的是为了提供给用户沟通互动的渠道。但是，从前面华为荣耀的类似情况看，这种情况很容易会让扣费软件找到机会，所以还酷派的这项功能显得多此一举，提出批评。

　　危害六： 向酷派服务器上传设备信息，包括地理位置、应用使用、电话、短信等历史记录 这其实是目前手机行业的常规做法，通常用户在新购机后第一次激活时，会有一个注册过程，将设备基本的IMEI SN等信息注册回来，用于渠道销售管理，类似于中国移动的DM，这也是业界通用做法，目的是为了更好的服务用户。另外，在使用软件时，会采集用户安装应用列表，用于应用的更新及升级，只是用于应用更新计算，并不会保存，这也是应用商店的通用做法。

　　在如今的传统互联网市场乃至移动互联网市场，弹窗广告和应用分发已是相对成熟的广告盈利方式，很多有大量用户基数的产品都在投放这一类型广告。于是乎，在利润的诱惑下，很多厂商背离了用户体验为王的根本，千方百计的追逐广告效益的最大化。像“CoolReaper”推送广告的这种行为，无论你怎么root和卸载应用程序，都无法避免的要接受广告的骚扰，顽固的近乎流氓。不可否认的是，如果没有大量的广告利润的趋势，也许不会有“CoolReaper”这样的程序存在，或许说及时存在，也许“神通”不会这么广大。但我想说的是，无论怎样，广告并不能成为危及公众安全的借口，酷派应该反思，自重!