Digitalmania – Pemilik smartphone android Xiaomi, HTC, Samsung atau OnePlus harus berhati-hati, ada kabar kurang mengenakan bagi mereka yang memiliki ponsel dengan merek tersebut.
Seorang mahasiswa ilmu komputer asal Belanda, Thijs Broenink mencurigai aplikasi bernama AnalyticsCore.apk yang bekerja nonstop selama 24 jam dan selalu muncul kembali setelah dihapus, mengambil data milik pengguna secara diam-diam.
Thijs Broenink merekayasa kode Xiaomi dan menemukan bahwa aplikasi itu terus melakukan pemeriksaan update ke server perusahaan setiap 24 jam, dan setiap kali melakukannya, aplikasi mengirimkan informasi identifikasi ponsel termasuk di dalamnya, IMEI, Model, MAC address, Nonce, Nama Paket dan signature.
Jika ada update aplikasi baru tersedia pada server dengan nama file “Analytics.apk,” maka secara otomatis ia mengunduh dan menginstal dari balik layar tanpa interaksi pengguna. Broenink mengatakan bahwa tidak ada proses validasi sama sekali saat aplikasi apk diinstal, yang berarti ada cara bagi hacker untuk mengeksploitasi celah ini.
Selain itu, dengan situasi seperti ini Xiaomi bisa secara diam-diam menginstal aplikasi apa saja ke ponsel user dari jarak jauh hanya dengan mengganti nama ke “Analytics.apk”. Jadi Xiaomi dapat mengganti paket yang mereka inginkan secara rahasia dalam waktu 24 jam.
Pernyataan Resmi Xiaomi
Mendengar isu tentang backdoor yang memungkinkan hacker atau Xiaomi sendiri dapat menginstal aplikasi pada jutaan perangkat secara diam-diam, memaksa Xiaomi mengeluarkan sebuah pernyataan resmi.
“AnalyticsCore adalah built-in komponen sistem MIUI yang digunakan oleh komponen MIUI untuk tujuan analisis data untuk membantu meningkatkan pengalaman pengguna, seperti MIUI Kesalahan Analytics.”
“Sebagai langkah pengamanan, MIUI memeriksa signature dari aplikasi Analytics.apk selama instalasi atau upgrade untuk memastikan bahwa hanya APK dengan signature resmi dan benar akan diinstal,”
“Setiap APK tanpa signature resmi akan gagal diinstal. Sebagaimana AnalyticsCore adalah sarana untuk memastikan pengalaman pengguna yang lebih baik, mendukung fitur self-upgrade. Mulai dari MIUI v7.3 dirilis pada bulan April / Mei, HTTPS diaktifkan untuk transfer data lebih aman, untuk mencegah serangan man-in-the-middle.” Digitalmania. (VA)