- Les moniteurs de batterie automobile équipés de Bluetooth enregistrent la tension de la batterie tout en collectant les coordonnées GPS, les données des antennes-relais cellulaires et les balises Wi‑Fi à proximité, puis transmettent ces informations à des serveurs situés à Hong Kong et en Chine continentale.
- L’application Android exige une autorisation de localisation pour utiliser l’appareil matériel, ce qui oblige les utilisateurs à diffuser en continu leur position physique à des tiers pour pouvoir utiliser le produit.
- L’App Store affirme qu’aucune donnée personnelle n’est collectée ni partagée, ce qui induit les consommateurs en erreur.
- Cela soulève de graves problèmes de confidentialité, car il n’existe aucune raison légitime pour qu’une application de surveillance de batterie automobile suive la position de l’utilisateur.
- Le produit totalise plus de 100 000 téléchargements rien que sur Android.
- La bibliothèque embarquée utilisée, AMap, est l’un des principaux fournisseurs de cartographie numérique en Chine et contribue en partie à cette collecte de données à grande échelle.
- Le SDK AMap collecte les coordonnées GPS, les données de localisation des antennes-relais voisines et les points d’accès Wi‑Fi ; dans la deuxième partie de cette série, l’auteur examine comment AMap recueille ces données.
- Le matériel est simple, nécessite un appairage avec un smartphone, et l’application requise s’exécute en arrière-plan pour transformer le téléphone en dispositif de balayage de position.
- L’application Android nécessite une autorisation de localisation pour obtenir les informations de position, et la version iOS transmet elle aussi des données de localisation à des serveurs distants.
mitmproxy est utilisé pour intercepter le trafic réseau, et Frida sert à l’analyse dynamique et à l’analyse mémoire.- L’application est packée avec
qihoo.util, un packer logiciel commercial, ce qui complique le déchiffrement direct du bytecode Java depuis l’APK.
1 commentaires
Commentaires sur Hacker News