VacronViewer App 回傳機敏資料 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2019-01041
  •  發信 Vendor: 馥鴻科技股份有限公司
  • Title: VacronViewer App 回傳機敏資料
  • Introduction: 該 Android App 會回傳帳密、IP位址等可以窺看、調整監視器之資訊

處理狀態

目前狀態

公開
Last Update : 2019/11/09
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2019/09/09 01:27:43 : 新提交 (由 ggsnipe 更新此狀態)
  • 2019/09/09 02:01:30 : 新提交 (由 ggsnipe 更新此狀態)
  • 2019/09/09 23:04:36 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/09/18 14:15:59 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/09/18 14:15:59 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/09/18 14:15:59 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/11/09 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2019-01041
  • 通報者：ggsnipe (ggsnipe)
  • 風險：中
  • 類型：資訊洩漏 (Information Leakage)

參考資料

暫無資料
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://play.google.com/store/apps/details?id=com.fuho.vacronviewer&hl=zh_TW

敘述

前言

此研究為 Android 手機的 VacronViewer App，在商店上顯示下載次數超過十萬，在第一次使用 App 時沒有通知用戶其會蒐集隱私相關資料。

調查

首先當然是抽出 APK 檔，使用 dex2jar 將 apk 轉成 jar 檔。

再使用 jd-gui 去看原始碼，不過有一些地方仍沒被解析成功，仍然顯示 bytecode。

App 開啟時就偷傳 IMEI

我們首先可以看到 VacronViewerActivity.class 這個檔案，寫著 onStart() 做的事情。

在使用者每次打開 App，都會先去檢查 IP 位址，並且回傳 IMEI 碼，這邊是不太清楚為何要先檢查再回傳。不過回傳也很奇怪，一般來說這是用來給廣告商識別手機使用者，精準投放廣告用的，可是這款 App 並沒有廣告。

透過 Packet Capture 這 App 可以攔截封包，清楚看到手機的 IMEI 碼被回傳，奇怪的是這邊寫的名稱是 MAC，但實際上的確為 IMEI。

儲存設備列表便回傳帳密

這款 App 是用來向家中、公司的監視器進行連線，照理說可以不用透過開發商，實際上也不需要。
但為何會回傳帳密呢？這點實在令人匪夷所思

下面是 uploadDeviceListDataThread.class 的程式碼

包含了：

  1. 該筆設備名稱
  2. IP 位址
  3. Port number
  4. Device type
  5. 帳號
  6. 密碼
  7. 設備通道

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;