Mundo
Aplicativo de compras popular na China é capaz de espionar usuários, dizem especialistas
O Pinduoduo é um dos aplicativos de compras mais populares da China, vendendo roupas, mantimentos e praticamente tudo para mais de 750 milhões de usuários por mês
03/04/2023
Ascensão para o sucesso
A Pinduoduo, que possui uma base de usuários que representa três quartos da população online da China e um valor de mercado três vezes superior ao do eBay, nem sempre foi um gigante das compras online. Fundada em 2015 em Xangai por Colin Huang, um ex-funcionário do Google, a startup lutava para se estabelecer em um mercado há muito dominado pelos fortes e-commerce Alibaba e JD.com. Ela conseguiu oferecer grandes descontos em pedidos de compra de grupos de amigos e familiares e se concentrar em áreas rurais de baixa renda. A Pinduoduo registrou crescimento de três dígitos em usuários mensais até o final de 2018, ano em que foi listada em Nova York. Em meados de 2020, porém, o aumento de usuários mensais havia diminuído para cerca de 50% e continuaria diminuindo, de acordo com seus relatórios de ganhos. Foi em 2020, de acordo com um atual funcionário da Pinduoduo, que a empresa montou uma equipe de cerca de 100 engenheiros e gerentes de produto para procurar vulnerabilidades em telefones Android, desenvolver maneiras de explorá-las –e transformar isso em lucro. De acordo com a fonte, que pediu anonimato por medo de represálias, a empresa visava apenas usuários em áreas rurais e cidades menores inicialmente, evitando usuários em megacidades como Pequim e Xangai. “O objetivo era reduzir o risco de exposição”, disseram eles. Ao coletar dados abrangentes sobre as atividades dos usuários, a empresa conseguiu criar um retrato abrangente dos hábitos, interesses e preferências dos usuários, de acordo com a fonte. Isso permitiu melhorar seu modelo de aprendizado de máquina para oferecer notificações push e anúncios mais personalizados, atraindo usuários para abrir o aplicativo e fazer pedidos, disseram eles. A equipe foi dissolvida no início de março, acrescentou a fonte, depois que perguntas sobre suas atividades vieram à tona. A Pinduoduo não respondeu aos pedidos repetidos da CNN para comentar sobre a equipe.O que os especialistas descobriram
Abordados pela CNN, pesquisadores da empresa cibernética Check Point Research, com sede em Tel Aviv, da Oversecured, uma startup de segurança de aplicativos com sede em Delaware, EUA, e a WithSecure de Mikko Hyppönen realizaram análises independentes da versão 6.49.0 do aplicativo, lançada nas lojas de aplicativos chinesas no final de fevereiro. O Google Play não está disponível na China e os usuários do Android no país baixam seus aplicativos nas lojas locais. Em março, quando o Google suspendeu o Pinduoduo, disse ter encontrado malware em versões obtidas fora da loja virtual Google Play. Os pesquisadores encontraram um código projetado para alcançar a “escalada de privilégios”: um tipo de ataque cibernético que explora um sistema operacional vulnerável para obter um nível mais alto de acesso aos dados do que deveria, de acordo com especialistas. “Nossa equipe fez engenharia reversa desse código e podemos confirmar que ele tenta aumentar os direitos, tenta obter acesso a coisas que aplicativos normais não seriam capazes de fazer em telefones Android”, disse Hyppönen. O aplicativo foi capaz de continuar rodando em segundo plano e evitar que fosse desinstalado, o que permitiu aumentar suas taxas mensais de usuários ativos, disse Hyppönen. Ele também tinha a capacidade de espionar os concorrentes rastreando a atividade em outros aplicativos de compras e obtendo informações deles, acrescentou. A Check Point Research também identificou maneiras pelas quais o aplicativo foi capaz de escapar do escrutínio. O aplicativo implantou um método que permitia enviar atualizações sem um processo de revisão da loja de aplicativos destinado a detectar aplicativos maliciosos, disseram os pesquisadores. Eles também identificaram em alguns plug-ins a intenção de ocultar componentes potencialmente maliciosos, ocultando-os sob nomes de arquivos legítimos, como o do Google. “Essa técnica é amplamente usada por desenvolvedores de malware que injetam códigos maliciosos em aplicativos que possuem funcionalidade legítima”, disseram eles. Na China, cerca de três quartos dos usuários de smartphones usam o sistema Android. O iPhone da Apple tem 25% de participação de mercado, de acordo com Daniel Ives, da Wedbush Securities. Sergey Toshin, fundador da Oversecured, disse que o malware do Pinduoduo visava especificamente diferentes sistemas operacionais baseados no Android, incluindo aqueles usados pela Samsung, Huawei, Xiaomi e Oppo. A CNN entrou em contato com essas empresas para comentar. Toshin descreveu o Pinduoduo como “o malware mais perigoso” já encontrado entre os aplicativos convencionais. A maioria dos fabricantes de telefones personaliza globalmente o software principal do Android, o Android Open Source Project (AOSP), para adicionar recursos e aplicativos exclusivos a seus próprios dispositivos. Toshin descobriu que o Pinduoduo explorou cerca de 50 vulnerabilidades do sistema Android. A maioria das exploits foi feita sob medida para peças personalizadas conhecidas como código do fabricante de equipamento original (OEM), que tende a ser auditado com menos frequência do que o AOSP e, portanto, é mais propenso a vulnerabilidades, disse ele. O Pinduoduo também explorou várias vulnerabilidades do AOSP, incluindo uma que foi sinalizada por Toshin para o Google em fevereiro de 2022. O Google corrigiu o bug em março, disse ele. De acordo com Toshin, as explorações permitiram que o Pinduoduo acessasse as localizações, contatos, calendários, notificações e álbuns de fotos dos usuários sem o consentimento deles. Eles também foram capazes de alterar as configurações do sistema e acessar as contas e bate-papos das redes sociais dos usuários, disse ele. Das seis equipes com as quais a CNN conversou para esta reportagem, três não realizaram análises completos. Mas suas análises primárias mostraram que o Pinduoduo solicitou um grande número de permissões além das funções normais de um aplicativo de compras. Eles incluíam “permissões potencialmente invasivas”, como “definir papel de parede” e “baixar sem notificação”, disse René Mayrhofer, chefe do Instituto de Redes e Segurança da Johannes Kepler University Linz, na Áustria.Dissolvendo a equipe
As suspeitas sobre malware no aplicativo Pinduoduo foram levantadas pela primeira vez no final de fevereiro em um relatório de uma empresa chinesa de segurança cibernética chamada Dark Navy. Mesmo que a análise não nomeasse diretamente a gigante das compras, o relatório se espalhou rapidamente entre outros pesquisadores, que nomearam a empresa. Alguns dos analistas seguiram com seus próprios relatórios confirmando as descobertas originais.
Falha de supervisão
A Pinduoduo conseguiu aumentar sua base de usuários em um cenário de repressão regulatória do governo chinês à Big Tech, que começou no final de 2020. Naquele ano, o Ministério da Indústria e Tecnologia da Informação lançou uma repressão abrangente contra aplicativos que coletam e usam dados pessoais ilegalmente. Em 2021, Pequim aprovou sua primeira legislação abrangente sobre privacidade de dados. A Lei de Proteção de Informações Pessoais estipula que nenhuma parte deve coletar, processar ou transmitir informações pessoais ilegalmente. Eles também estão proibidos de explorar vulnerabilidades de segurança relacionadas à Internet ou de se envolver em ações que ponham em risco a segurança cibernética. O aparente malware do Pinduoduo seria uma violação dessas leis, dizem especialistas em políticas de tecnologia, e deveria ter sido detectado pelo órgão regulador. “Isso seria embaraçoso para o Ministério da Indústria e Tecnologia da Informação, porque esse é o trabalho deles”, disse Kendra Schaefer, especialista em política de tecnologia da consultoria Trivium China. O ministério publica regularmente listas para nomear e envergonhar os aplicativos que violam a privacidade do usuário ou outros direitos. Ele também publica uma lista separada de aplicativos que são removidos das lojas de aplicativos por não cumprir os regulamentos. Pinduoduo não apareceu em nenhuma das listas. A CNN entrou em contato com o Ministério da Indústria e Tecnologia da Informação e a Administração do Ciberespaço da China para comentar. Nas mídias sociais chinesas, alguns especialistas em segurança cibernética questionaram por que os reguladores não tomaram nenhuma ação. “Provavelmente nenhum de nossos reguladores pode entender de codificação e programação, nem entendem de tecnologia. Você não consegue se quer entender o código malicioso quando ele é empurrado bem na sua cara”, escreveu na semana passada um especialista em segurança cibernética com 1,8 milhão de seguidores, em um post viral no Weibo, uma plataforma semelhante ao Twitter.Mais lidas
1