安全公司曝光手机神秘固件，可将隐私数据秘密传回中国公司

Kryptowire 是由美国国防高级研究计划局 (DARPA) 和国土安全部 (DHS) 联合投资的公司，主要为美国国防、军事、情报机构提供移动应用程序的安全性分析、企业级移动设备安全解决方案等服务。

美国东部时间 11 月 15 日，Kryptowire 官网 发布公告 称，发现移动电话中的神秘固件可未经允许发送用户敏感数据。目前已确定几款 Android 设备装有这些固件，主要通过网络商城（如 亚马逊、百思买）销售，其中包括当下流行的低端手机 BLU R1 （亚马逊等各大商城有卖）。
这些设备将会积极传回用户个人信息，包括短信、联系人列表、通话记录、国际移动用户识别码（IMSI）和国际移动设备识别码（IMEI）等。固件能够针对用户短信远程匹配关键字，绕过 Android 权限模型、提权、执行远程命令，还能够进行远程重新编程。

Kryptowire 公司溯源发现该固件会周期性将收集到的信息多层次加密，通过安全的网络协议传回位于上海的服务器，调查显示服务器属于固件更新软件提供商——上海 AdUps （上海广升信息技术有限公司）。

更多详细分析情况请查阅 Kryptowire 官网公告。

**  BLU 产品公司约有 12 万手机受到影响，其余影响范围正在统计中。

稿源：本站翻译整理， 封面：百度搜索，图文无关。