- MuMu Player Pro pour macOS collecte automatiquement des informations système toutes les 30 minutes lorsqu’il est en cours d’exécution, y compris des données réseau, processus, applications et noyau
- Les éléments collectés incluent notamment la liste des appareils du réseau local, l’ensemble des processus en cours, les métadonnées des applications installées, le fichier hosts et les paramètres du noyau
- Ces informations sont liées au numéro de série du Mac via la plateforme d’analyse SensorsData et utilisées pour l’identification de l’appareil
- La politique de confidentialité de MuMu ne mentionne pas ces collectes, qui ne sont pas nécessaires au fonctionnement de l’émulateur
- Cette collecte répétée et non publique de données soulève des questions de manque de transparence et de risque potentiel d’atteinte à la vie privée
Collecte de données système
- MuMu Player Pro collecte automatiquement des informations système toutes les 30 minutes lorsqu’il s’exécute sur macOS
- À chaque cycle de collecte, un dossier horodaté est créé dans
~/Library/Application Support/com.netease.mumu.nemux-global/logs/
- Chaque dossier contient le résultat d’exécution de 17 commandes
- Parmi les commandes exécutées figurent
arp -a, ifconfig, netstat, ps aux, sysctl -a, launchctl print system
- Sont enregistrés notamment les appareils du réseau local (IP·MAC), les connexions réseau actives, tous les processus en cours avec leurs arguments, la liste des applications installées et leurs métadonnées, ainsi que des informations sur le noyau et le matériel
- Le résultat de
ps aux atteint environ 200 KB et inclut des informations sur les applications utilisées, les VPN, les outils de développement et les logiciels de sécurité
- Chaque session de collecte génère environ 400 KB de données et s’exécute en moyenne 16 fois par jour
Contenu des données collectées
- Informations liées au réseau :
arpAll.txt, ifconfig.txt, networkDNS.txt, networkProxy.txt, netstat.txt
- Informations système et applications :
listProcess.txt, listApplications.txt, mdlsApplications.txt, sysctl.txt, launchctlPrintSystem.txt
- Informations de configuration de l’environnement : fichier
/etc/hosts, systèmes de fichiers montés, liste des LaunchAgents/Daemons
- Les résultats de commandes
curl destinées à tester la connexion à l’API MuMu sont également inclus
- À chaque session, un fichier
collect-finished est créé pour consigner si la collecte a réussi
Le problème de la collecte de la liste des processus
- La commande
ps aux collecte les arguments complets de ligne de commande de tous les processus
- Cela expose les applications en cours d’exécution, les configurations VPN, les outils de développement, les jetons de session, les chemins de répertoires utilisateur et des informations sur les logiciels de sécurité
- Répétée toutes les 30 minutes, cette collecte constitue un historique chronologique des usages
Analyse et identification de l’appareil
- MuMu utilise la plateforme d’analyse chinoise SensorsData
- Le répertoire
report/ contient le fichier sensorsanalytics-com.sensorsdata.identities.plist
- Ce fichier comprend l’entrée
$identity_mac_serial_id, qui contient le numéro de série matériel du Mac
sensorsanalytics-super_properties.plist enregistre des propriétés marketing telles que la version de l’application, le canal, l’UUID et la source UTM- Une file de messages d’environ 86 KB (
sensorsanalytics-message-v2.plist) est transmise au serveur
Incohérence avec la politique de confidentialité
- La politique de confidentialité officielle de MuMu Player Pro ne mentionne pas explicitement les éléments suivants
- l’exécution de
ps aux, arp -a, /etc/hosts, sysctl -a, mdls, etc.
- la collecte du numéro de série du Mac
- les tâches de collecte répétées toutes les 30 minutes
- Le comportement réel est donc en contradiction avec la politique publiée
Conclusion
- MuMu Player Pro collecte périodiquement un niveau d’informations système non nécessaire au fonctionnement d’un émulateur
- Les données collectées forment un profil système complet, incluant configuration réseau, liste des processus, applications installées, paramètres DNS et paramètres du noyau
- La combinaison de l’analyse SensorsData et du numéro de série matériel permet de créer une empreinte persistante et détaillée de l’appareil
- Comme ces pratiques sont menées de manière non publique et répétée, elles constituent au minimum un grave manque de transparence
Aucun commentaire pour le moment.