Đại diện Cộng đồng an ninh mạng Việt Nam (WhiteHat) cho biết: Trung tuần tháng 1/2017, Công ty Tencent (Trung Quốc) đã phát hành ứng dụng chỉnh ảnh trên di động có tên Pitu, cho phép người dùng “hóa thân” thành nhân vật trong phim cổ trang Trung Quốc. Với hình ảnh được chỉnh sửa vui nhộn, bắt mắt, ứng dụng miễn phí này nhanh chóng thu hút người dùng với hơn 5 triệu lượt tải về từ Google Play (tính tới thời điểm hiện tại).
Ứng dụng Pitu trên kho Google Play. |
Tuy nhiên, người dùng cần cẩn trọng bởi khi cài đặt Pitu “đòi” một số quyền ưu tiên, đồng thời thu thập dữ liệu nhạy cảm của người dùng.
Ông Nguyễn Hồng Sơn, chuyên gia phụ trách mảng An ninh hệ thống của Bkav cho biết: Với ứng dụng chỉ gồm tính năng về chỉnh sửa ảnh nhưng Pitu lại yêu cầu truy cập các thông tin nhạy cảm từ người tải là không cần thiết.
Theo các chuyên gia an ninh mạng Bkav, kết quả phân tích sơ bộ file cài đặt cho thấy, Pitu yêu cầu một số quyền truy cập thông tin trên thiết bị di động vốn không cần thiết cho tính năng của ứng dụng:
• Quyền mở một kết nối Bluetooth đến một thiết bị khác BLUETOOTH
• Quyền tự động mở một kết nối Wifi CHANGE_WIFI_STATE
• Quyền tạo và truy cập Internet INTERNET
• Quyền truy cập vào việc định vị vị trí của thiết bị (GPS) ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION
• Quyền đọc thông tin của thiết bị (ID, các ứng dụng, IMEI, số điện thoại, các cuộc gọi,…) READ_PHONE_STATE
• Quyền kiểm tra các ứng dụng, chương trình đang chạy trên thiết bị GET_TASKS
• Quyền đọc và ghi vào bộ nhớ thiết bị, thay đổi cấu hình và dữ liệu của thiết bị WRITE_SETTINGS, READ_PHONE_STATE,READ_LOGS…
• Quyền ghi lại các cuộc hội thoại RECORD_AUDIO
Ông Nguyễn Hồng Sơn cho biết thêm: Ứng dụng Pitu liên tục kết nối và gửi dữ liệu tới các địa chỉ IP của các server đặt tại Trung Quốc như : http://log.tbs.qq.com; https://qpiksvr.xiangji.qq.com. Tuy nhiên, dữ liệu được mã hóa, các chuyên gia Bkav đang tiến hành phân tích thêm. Đặc biệt, ứng dụng Pitu tự động tải về file tbs_res_imtt_tbs_release_tbs_core_3.0.0.1049_04302 4_20170120_170945.tbs từ server http://103.7.29.178/soft.tbs.imtt.qq.com/ để tiến hành cài đặt.
Ảnh được chỉnh sửa theo nhân vật cổ trang sau khi tải phần mềm Pitu khiến người dùng rất thích thú vì đẹp và lạ. Ảnh minh họa: Lê Phú |
“Tại thời điểm phân tích thì file trên là một ứng dụng để thực hiện việc “test”. Tuy nhiên, tính năng tự động tải file này có thể được sử dụng để tải và chạy các ứng dụng độc hại trên điện thoại của người dùng, ông Sơn nói.
Giới an ninh mạng cho rằng, các ứng dụng ảnh thu thập thông tin người dùng và gửi về máy chủ từ xa không quá xa lạ. Những thông tin này thường được bán cho các nhà quảng cáo.
Tuy nhiên, việc thu thập cả những thông tin liên quan đến quyền riêng tư là xâm hại nghiêm trọng đến quyền cá nhân. Nguy hiểm hơn, việc âm thầm đánh cắp số IMEI của điện thoại có thể bị kẻ xấu lợi dụng để chiếm quyền điều khiển điện thoại.