Kahit na ang security app ni Xiaomi ay inilaan upang maprotektahan ang mga aparato at data ng gumagamit, isiniwalat ng mga mananaliksik sa security firm na Check Point ngayon na kabaligtaran ang ginawa ng app.
Tinatawag na Tagabigay ng Tagabantay, ang app ay gumagamit ng mga anti-virus scanner mula sa Avast, AVL, at Tencent upang makita ang mga potensyal na malware. Sa paghahanap ng Android malware ng iba't ibang mga paraan upang makapunta sa iyong aparato, hindi nakakagulat na malaman na ang Xiaomi ay paunang na-install ang Tagabigay ng Tagapagbigay sa lahat ng mga telepono nito.
Gayunpaman, natagpuan ng mga mananaliksik ng Check Point ang isang nakasisilaw na kapintasan ng seguridad sa app - ang mekanismo ng pag-update nito.
Ayon sa tagapagpananaliksik ng Check Point na si Slava Makkaveev, ang Tagabigay ng Tagabigay ay tumatanggap ng mga update sa pamamagitan ng hindi ligtas na koneksyon sa HTTP. Nangangahulugan ito na ang mga masasamang aktor ay maaaring abusuhin ang Avast Update APK at ipasok ang malware sa pamamagitan ng isang pag-atake ng man-in-the-middle (MITM), hangga't nasa parehong network ng Wi-Fi ang kanilang mga potensyal na biktima.
Ang isang halimbawa ng pag-atake ng MITM ay aktibong pag-i-drive, na nagsasangkot ng isang tagasalakay na nagtatakda ng isang malayang koneksyon sa isang biktima. Naniniwala ang biktima na sila ay nakakaugnay sa isang lehitimong ikatlong partido, na ang katotohanan na ang mang-aatake ay nakikipag-ugnay sa kanilang mga s at itinapon sa mga bago.
Bilang karagdagan sa malware, sinabi ni Makkaveev na ang mga umaatake ay maaari ring gumamit ng mga pag-atake ng MITM upang mag-iniksyon ng ransomware o pagsubaybay sa mga app. Maaari ring malaman ng mga magsasalakay ang pangalan ng file ng pag-update upang gawin ang kanilang software na mukhang walang kasalanan hangga't maaari.
Dahil ang Guard Provider ay paunang naka-install sa mga telepono ng Xiaomi, milyon-milyong mga aparato ang nagtatampok ng parehong kapintasan ng seguridad. Ang mabuting balita ay ang Xiaomi ay may kamalayan sa isyu at nagtrabaho sa Avast upang ayusin ito.
umabot kay Xiaomi para magkomento ngunit hindi nakatanggap ng tugon sa pamamagitan ng oras ng pindutin.
