卡巴斯基确认拼多多 APP 的中国版本中存在恶意代码

[euph]

卡巴斯基确认拼多多 APP 的中国版本中存在恶意代码

总部位于莫斯科的卡巴斯基实验室的安全研究人员在 PDD 的中国购物应用拼多多版本中发现并概述了潜在的恶意软件，此前谷歌将其从其安卓应用商店中下架。

在对恶意代码的首批公开报告之一中，卡巴斯基阐述了该应用程序如何提升自身权限以破坏用户隐私和数据安全。 它测试了通过中国本地应用商店分发的应用版本，华为技术有限公司、腾讯控股有限公司和小米公司经营着一些最大的应用市场。

卡巴斯基与彭博社分享的调查结果是独立安全团队对上周触发谷歌行动和恶意软件警告的最清晰解释之一。 这家网络安全公司在揭露历史上一些最大的网络攻击方面发挥了作用，该公司表示，它发现了早期版本的拼多多利用系统软件漏洞安装后门并获得对用户数据和通知的未授权访问的证据。

这些结论在很大程度上与过去几周在网上发布他们的发现的研究人员的结论一致，尽管彭博新闻社尚未证实早期报道的真实性。

这起安全事件可能会为美国本已激烈的关于中国应用程序数据不安全的言论火上浇油。 虽然拼多多主要在中国使用，但 PDD 的另一款应用 Temu——销售从衣服到厨房用品的所有商品——在过去几个月的大部分时间里一直是苹果公司美国应用商店中下载次数最多的应用。 它尚未像 ByteDance Ltd. 的 TikTok 那样成为立法者审查的焦点。

来源: https://www.bloomberg.com/news/articles/2023-03-27/pinduoduo-app-malware-detailed-by-cybersecurity-researchers#xj4y7vzkg

目前微博热搜第二

[buyan3303]

没办法，国内的互联网企业，不从代码上剖析、复现，
他们依然会以“不是近期 APP 代码”、“没有复现”、“恶意猜测”等理由 给搪塞过去。
另外之后再给你发律师函。

如果锤人的是国外的个体或者公司，那么就可以利用 ai 国情绪把这个负面给压下去。

[twofox]

工信部避重就轻是最令人恶心的，这么大个公司，做出这种侵犯隐私的事情，居然一点声浪都没有。

[linxl]

转发这个消息会不会收到律师函。。。

[Greenm]

美国，俄罗斯都看到了，就中国看不到，结合滴滴因为信息安全被处罚的事件来看，中国官方对于老百姓的隐私只在乎是否被境外势力获取，至于境内势力都是自己人，随便卖随便搞，会处罚算我输。

[d873139022]

这是不是说明 ios 系统管理的更好呢，貌似没看过拼多多在苹果手机上暴露出安全问题

[yyf1234]

@twofox 他们给的实在太多了

[Ljmac]

哈哈哈，毕竟不是滴滴叛国投敌 ，PDD 属于人民内部矛盾

[sincus]

@Greenm 中国官方真的在乎老百姓隐私是否被境外势力获取？ 应该是只在乎赵家人的隐私吧。

[xinh]

不，他们并不在乎被谁获取了，只在乎是否影响他们的利益

[guazila]

不管别人还用不用，反正我从此不用 PDD 了。这种行为哪像一个大型商业公司，收集隐私明明可以在明面上给个用户协议，我敢说 99%的用户都不会在意的，会点同意，偏要用这种下三滥的手段。

[swulling]

@d873139022 主要是 iOS 不允许侧载，你看 pdd 在 Play Store 上的版本也没后门。Google 算是提前封禁。

这就是统一应用商店的好处，你敢用 0day ，发现后那就等着被永久下架吧。


所以我坚定支持 iOS 禁止侧载。

[testver]

xhao 我只用 IOS ，找我没装 PDD 。

[niolas]

昨天已经删除 pdd

[yvescheung]

PDD 证明了有一个好的后台是多么重要，有了后台，杀人放火都可以是无罪的

[BUHeF254Lpd1MH06]

@d873139022 iOS 是沙盒机制，APP 能获取的权限非常少，开发者想存个广告唯一标识都得费老大劲各种钻

[jacy]

外交部：中俄合作没有止境、没有禁区、没有上限

[dbskcnc]

@swulling 问题根本不是侧载，是没人管理，各个层面到现在都没一丁点声音，就算要要坛，还不是有不少获取了利益的人在帮着洗地。

我的观点是强奸犯就是强奸犯（还是性质特别恶劣的那种），即使他平时也给大众带来了一点利益。

[dbskcnc]

@dbskcnc 就算要要坛 -> 就算本坛

[VYSE]

李 X 书记召开的这个会，齐聚 B 站拼多多饿了么等掌门人，共话在线新经济

5-10 年内没人敢动 PDD

[emSaVya]

@dbskcnc 不是怎么突然都开始装外宾了？比 pdd 这玩意严重的事多了去了, 哪个管了？

[IDAEngine]

证明国内的应用商店都是为国内某些利益集团服务，不是为用户

[qk3z]

大家一起去工信部的公众号-工信微报投诉 pdd 啊

[websterq]

非杠，本人也不咋用 pbb ，只是好奇问一下，为啥：“发现了早期版本的拼多多” 今天突然爆出来，另外早期用 pbb 的不都是大家都用的微信里的小程序吗，现在的 pbb 还有这个问题吗

[kaedea]

按照问题的描述，安装过 pdd 的，卸载都没有，要手机恢复出厂设置。

[dbskcnc]

@emSaVya 就事论事，不要扯太远。 别人我是没办法，zf 又不为民处理，个人只能避开流氓并以自己的实际行动（卸载停止使用）谴责之。

[beimenjun]

感觉 TikTok 要被 PDD 送的子弹给弄死了。

[hazardous]

一言一行都阐释了这个企业是如何的没有下限，然而不但没有任何惩罚，却赚的盆满钵满，这何尝不是一种鼓励呢。

[dbskcnc]

@emSaVya 少一些看客行为，这个社会会好上些许。
让您举白纸，估计你不愿意， 停止支持流氓只需要卸载和停止在它上面消费，这么简单的事情，很多人都无动于衷，还一个劲地给它洗地。这个世界有千千万万的罪恶，这并不是给它开脱的理由。

[helloworld2048]

企业文化，pdd 内部的 im 软件还要求有手机的控制权呢

[dc25b]

我知道锅应该还是在产品经理，但我真的好奇，开发这些 feature 的程序员心里什么感受？这种既有开创性又有挑战性的项目经历，跳槽的时候好意思写到简历里吗？

[Microi]

谷歌和卡巴斯基都是外国的，他们能定义“恶意”吗？
我怎么看都是善意代码，为了防止用户不小心删除 App 以及防止 App 不读取隐私导致广告推得不合适，是为用户好。😎

[pcmgr456]

pdd 在国内后台很硬的，不然为啥这么嚣张，各种标题党欺诈活动，国内想告 pdd 的人多了去了，你看有几个争取到合法权益的，pdd 在海外就乖多了，说送钱就真的送钱，不然老外可就不客气了

[calano]

@dc25b https://finance.sina.cn/2021-01-13/detail-ikftpnnx6435218.d.html

[swulling]

@dbskcnc
> 问题根本不是侧载，是没人管理，各个层面到现在都没一丁点声音，就算要要坛，还不是有不少获取了利益的人在帮着洗地。

只要有管理，就有权力寻租。宁愿相信商业公司 Apple 的操守，也不信任某个 xx 部门能够高效且有效的应对这种事情。

所以本质就是宁愿让商业公司比如 Apple 掌握 App 上下架的权力，也不愿意让 xx 部门掌握。

一问就是加强监管，越管越死。

[fengleiyidao]

抵制俄国公司，支持乌克兰娜🇺🇦

[0o0O0o0O0o]

@websterq #23

其实并不早期，「 DarkNavy 」一个月前 2023-02-28 发的：

https://mp.weixin.qq.com/s/P_EYQxOEupqdU0BJMRqWsw

当时只在安全圈子热度高，过了近一周 2023-03-05 该 APP 才发了新版避风头（对这种企业，不分析你都很难确定是真删掉了还是加强了混淆和保护，动态下发的文件不让下载了连证据你都不好拿）。

其实昨天引爆此事的 sunwear 在「一个月前」也发了微博，只不过在意的人有限，毕竟这种专业知识并不常规，包括很多数码爱好者甚至大部分开发者也都很难意识到这是一场「骇人听闻的黑客攻击事件」。后来被 Google play 下架、被「非中国」新闻媒体报道，直到被卡巴斯基这种大众熟知的老牌安全品牌提及。

该 APP 灰黑产风格已久，没看到有相关部门管过。V2EX 也有过其它方面的讨论：

https://v2ex.com/t/887582?p=1

一个月了，最该站出来保护中国人的那些人毫无作为，连声音都没有。如果这算给境外势力递刀子，那我只希望多来点。

https://github.com/davinci1010/pinduoduo_backdoor
https://github.com/davinci1012/pinduoduo_backdoor_unpacker
https://github.com/davincifans101/pinduoduo_backdoor_detailed_report

[Bad0Guy]

没用啊，当初 Google play 下架 pdd 这事儿新闻出来的那天，我眼睁睁看着上一秒文章还在 IT 之家的新闻报道里，下一秒刷新了显示“该文章不存在，404”，再看看今年的 315 ，你指望那帮人干人事？什么你法我笑

[shwnpol]

国产 app 全部消失了也不影响我的生活，包括微信支付宝:)

[qbox]

用个漏洞干个增加日活促成交的事情，洒洒水而已。更深层次的信息监控，那可是全局的

[polobug]

@dbskcnc 是的 应该向美国那边学习，直接禁用抖音，避免隐私泄漏
或者是 facebook 在英国的数据操纵几年后才发现一样，

[dbskcnc]

@qbox 有人用了特别手段进了你家，他说只是为了喝口水而已，你愿意相信就好

[kaedea]

有没有 pdd 的技术现身说法？这种需求产品是怎么跟技术沟通的？打哑谜啊？

[flyflyfly14]

垃圾公司 垃圾 APP

[FightPig]

好奇是不是论坛的哪个程序员写的

[cirzear]

看完赶紧卸载了，这行为不就是病毒么

[hhjswf]

这已经是犯罪了，负责人要坐牢的，比滴滴严重多了

[QWE321ASD]

有没有什么办法把腾讯的老版本搞过去揭发下，当年 3q 大战腾讯依靠背后力量一直坚持扫盘到今天，真实恶心人。我已经在蓝鸟上用 tiktok 和 temu 的 tag 揭发腾讯的劣迹了。

[0x6c696e71696e67]

有没有人研究过国家反诈这个 APP ，感觉这里面有不少私货

[dko]

法不入长宁

[Leonard]

现在看微博热搜没有啊，pdd 还是有钱啊，热搜撤得挺快

[heishu]

@0x6c696e71696e67 这可不兴研究啊

[tyzandhr]

@0x6c696e71696e67 研究了也不敢说出来啊

[KIzuN1]

@0x6c696e71696e67 想戴镯子了是吧

[JL1990]

是不是只能手机恢复出厂设置才能完全卸载

[deesan]

理论上：这足以造成拼多多的滑铁卢，让拼多多的信用归 0 ；
现实中：长宁必胜客；

[x86]

@kaedea #42 这种 0day 级别的东西感觉就那么几号人掌握着，pdd 这么多开发不可能各个都知道这个吧

[w99wjacky]

@v135ex 安卓也有沙盒机制的，PDD 是用的系统漏洞提权。
iOS 也有系统漏洞，不过因为都是 APP Store 分发，大公司也没这个胆子，小公司没这个技术

[jalen]

洗洗睡， 几天就过去了。

[daquandiao2]

@x86 #56
https://www.zhihu.com/question/587624599/answer/2927765317 看下这个回答倒数第二张图

[lyxeno]

@twofox 我觉得已经不只是简单的侵犯隐私行为了，这不就是在入侵用户的设备吗.夕夕真的恶心

[32]

@daquandiao2 不到 5 分钟, 已经跳不过去了

[6IbA2bj5ip3tK49j]

境外势力又来抹黑中国厂商了。一定是 PDD 的保活技术打破了国外的垄断！

[Celebi]

@0o0O0o0O0o #36 所以更新 app 到 2023-03-05 之后的版本或者更新系统到 Android 13 就可以解决这个问题了吧？

[chaoshui]

@daquandiao2 你似乎来到了没有知识的荒原 #doge

[vonxing]

@daquandiao2 这么快就知识的荒原了...

[Xianmua]

@0x6c696e71696e67 个人的观点是，当已经开始怀疑一个东西的时候，最好的选择就是不要用，离得越远越好。帖子这类事儿，没后续是大概率的，想不通的可以反复思考这句话，"一切以经济建设为中心"，多的就不说了

[yyyh]

热搜已经不见……

[gniviliving]

@yvescheung #14 从来都是杀人放火金腰带，修桥补路无尸骸

[TubroRock]

“京海这么多年，花了这么多钱，不就是今天用的吗”

[euph]

@Celebi 理论上说直接更新不能解决问题，更新 app 版本也不能，因为这个时候应用已经获得权限了

[ooooo]

所有的安卓手机，如果不是安卓 13 ，无一能幸免吧？

Google Play 上的版本也有后门吗 ？

[sqzdy8]

拼多多 app 有些功能确实不怎么样

[passall]

来源怎么不是“卡巴斯基”的网站？

[WinG]

普遍违法,选择执法.

[Ankommen]

我的已经被 Google play 自动卸载了。

[dbskcnc]

这里有个详细的文档, pdd 是相当深入, 触目惊心, 这样的 app 不卸载还待何时.
https://github.com/davincifans101/pinduoduo_backdoor_detailed_report/blob/main/report_cn.pdf

[pipilu]

android12 以下千万不要安装 PDD

[boatrain1111]

iOS 做得好

[hackpro]

@qk3z #22 你看看有没有人理你😄

[ewagnmoscy]

@ooooo 一样的，google play 前几天不仅是下架，还检测你手机里有没有安装，无论来源是不是从 play 商店安装都强制卸载掉

[BZGOGO]

换 iPhone 喽……要说窃取隐私，最明目张胆的莫过于反诈 app

[CSGO]

在中国，只看手机验证码，我都没办法验证是我账号，只有手机验证码。

[neoblackxt]

@guazila 他可不止收集通常意义上用户的愿意分享的那些数据，你的聊天记录，app 使用记录，各种搜索记录，你愿意分享吗，就算用户愿意，那些被攻击的 APP 厂商都不愿意。太无耻了，这家公司的软件已经没法用了，就算升级系统了又怎样，他们会继续挖掘新系统的漏洞，使用下三滥的手段他们轻车熟路。

[neoblackxt]

安全厂商就盯着 PDD 就行了，花活多着呢，没准还能学着新东西。谁才是安全大厂阿，PDD：没错，正是在下。

[ColorRabbit]

pdd 卡老外脖子了 所以要封他 手动狗头

[0o0O0o0O0o]

@neoblackxt #84 可怕的事实是：你为什么会觉得国内的安全厂商、互联网大厂、手机厂商对此事不知情？

[neoblackxt]

@0o0O0o0O0o 应该说内的安全厂商、互联网大厂、手机厂商中大多数对此事禁声，而且发声的第一财经文字稿被撤稿 404 ，保留了视频稿（忘了撤？），只有少数国内厂商 darknavy 和个人发声揭露，有的还不能直接提及名讳。这背后的能量是巨大的。上次那个拍加班同事被送上救护车照片的在脉脉上匿名发帖却被直接定位到人的员工被迅速开除，HR 姿态逆天，说明这家公司除了流氓之外还报复心极强，无法无天！什么网络安全法，非法侵入计算机系统罪，在这个公司面前就是废纸一张。

[0o0O0o0O0o]

@neoblackxt #87 装聋作哑的监管、某多的肆意妄为是丑陋的，这是毋庸置疑的。

我的观点是，这些厂商的噤声也很可疑：
1. 我确信它们知道某多作的恶；
2. 看分析报告也可以知道，某多已经直接侵犯到它们的产品，对这些厂商来说，就算不奢求做生意的人讲道德，那起码要讲利益吧？它们完全可以以别的商业理由起诉，而不只是网络发声（事实上连网络发声也没有）。

所以我只能认为知情不报的安全厂商、互联网大厂、手机厂商与某多是一丘之貉，均不值得信任。

[workingonescape]

“所以我只能认为知情不报的安全厂商、互联网大厂、手机厂商与某多是一丘之貉，均不值得信任。”，国内的 OV 可是 PDD 的兄弟啊，OVP 三家的老板都是步步高段老板的弟子，哪能兄弟阋墙

[weirking]

发现大厂的软件，电脑上也是，到处搜隐私，没人管