Chinese olympische spelen spyware.

[jjchriz]

https://twitter.com/jonat...4-nhrCxum-CtDxdcjNzQ&s=19

Ik kwam deze interessante discussie tegen tussen verschillende journalisten over de Chinese olympische spelen app, die zou chinese spyware hebben. Ik vroeg me af wie er nu gelijk heeft.

Iemand die wel code kan lezen en hier soep van kan maken?
Al verwacht ik dat dit nog wel op de NOS kan belanden.. 😌 (als het klopt natuurlijk)

[CAPSLOCK2000]

Even vooraf, ik heb alleen het plaatje bekeken en niet het artikel gelezen. Ik ga er maar even van uit dat het plaatje echt en niet gemanipuleerd is.

Ik kan het wel lezen en er staan inderdaad functienamen die suggereren dat er opnamefunctionaliteit en spraakherkennig aanwezig is. Maar op grond van dit screenshot kan je niet zeggen wanneer of hoe die functionaliteit gebruikt wordt. Iedere mobiele telefoon of ander apparaat met spraakherkenning zal dergelijke code hebben. Het is in principe mogelijk dat die functies helemaal niet gebruikt worden.
Maar verdacht is het zeker.

[sh4d0wman]

Wat je ziet is output van IDA Pro, deze wordt vaak gebruikt voor Reverse Engineering van code. Verder de tweet in duiken lijkt het te gaan om een iOS binary genaamd: TLauncher
Dan is er nog een github repository waar de binaries in staan, dus iOS en Android samen met het complete onderzoek.

Ik zie voornamelijk onderzoek dus weet niet op welke discussie je verder doelt (ik zit niet op Twitter).
Ja, China staat er om bekend electronica welke het land binnenkomt van een backdoor te voorzien.
Ja, China doet aan spionage in cyberspace.
Ja, alle andere wereldspelers gebruiken soortgelijke technieken.

Weinig om je druk over te maken dus

Oplossing is simpel: koop lokaal hardware en laat het achter. Gebruik throw-away accounts en zie geen gevoelige data in binnen China.

[oak3]

Ik vind het altijd ontzettend lastig om de sensatie van de onderzoeksjournalistiek te scheiden. Dat het allemaal twijfelachtig is, dat klopt en van China zou je ook zoiets mogen verwachten. Wat ik begrijp is dat er indicaties zijn dat een twijfelachtige SDK is gebruikt, maar er nog geen bewijs is dat er ook actief dat wordt verzonden.

Wat het vervelend maakt is dat de onderzoeker zelf weer een twijfelachtige reputatie heeft: YouTube: Jonathan Scott is a fraud (@JonathanData1 exposed)

De beste bron is volgens mij nog steeds: https://citizenlab.ca/202...ysis-my2022-olympics-app/

En uit die bron komt geen eenduidig bewijs, anders dan dat er mogelijkheden voor misbruik zijn en er wat twijfelachtige zaken zijn gevonden.

[jjchriz]

Dankjewel, ja ik zag ook meerdere indicaties dat hij niet betrouwbaar is. En dat de media het niet heeft opgepakt zegt ook wat. Dankje voor je reactie!

[oak3]

Die specifieke heeft de media niet opgepakt. Het is intussen wel een dingetje aan het worden in de media en in de 2e kamer. Dat vind ik overigens geheel terecht wanneer je een app verplicht en daar ook je paspoort en medische gegevens in op moet slaan. Dan mag er geen enkele twijfel zijn over de veiligheid en privacy van die app. En alhoewel die eerste bron niet betrouwbaar is, is er geenzins overtuiging dat de app heel goed gebouwd is.

https://www.rtlnieuws.nl/...hte-app-olympische-spelen

[sh4d0wman]

Ik heb even snel door de github gekeken:
- De iOS versie geeft aan geen data te verzamelen.
Vervolgens zie je als de app in gebruik is HTTP POST verkeer naar Chinese servers vertrekken.
Wat er precies wordt verzonden is mij nog niet helemaal duidelijk.

- Reverse Engineered iOS binary:
Daar komt men code tegen welke bekend is van iFlytek, een spyware developer welke op een US blacklist staat. Toeval? Code gelekt? Ingehuurd? Tja, dat weten we niet.

- Android
De app heeft permissies die te misbruiken zijn en waardoor je dus feitelijk een backdoor/RAT op je toestel hebt. Het kan in ieder geval files downloaden zonder notificatie, bluetooth & NFC controleren, slapen en screen lock uitschakelen, en nog meer.

Het probleem is dat zodra een app op je telefoon zit men altijd nieuwe functionaliteit kan pushen. Dus ook malafide functies. Dat de app verplicht is door de overheid geeft al aan dat er enige controle zal zijn en overheden houden er van om data op te slaan.

edit: de FBI is ook wakker geworden en heeft het volgende open deur statement:
"Breng niet je eigen laptop/telefoon mee."
Src: https://www.security.nl/p...naar+Beijing+mee+te+nemen

[Voor 11% gewijzigd door sh4d0wman op 01-02-2022 12:31]