安全公司发现小米4手机中预装恶意软件

上图：小米Mi 4 手机
图片来源：小米

2015年3月7日 下午3点
来源：venturebeat 作者：Ruth Reader

最新消息：3月8日，星期天，小米就Bluebox的报道向VentureBeat发表声明。

数据安全公司Bluebox通过测试发现，小米4手机中预装了恶意软件，还在这款手机中发现了许多其他问题。更令人担忧的是，这款手机似乎已被尚未确认的第三方篡改。

Bluebox曾经就此问题联系小米，但并未得到回复，该公司随后在周四发布了报告。

研究人员最初得到这款手机时，确定那是一款使用小米账户应用的合法小米设备。经过进一步测试，研究人员发现这款智能手机中预装了多款恶意软件，其中包括一款伪装成合法谷歌应用的广告软件、一个可以让黑客控制手机的木马，还有其他一些高危软件。

此外，Bluebox首席安全分析师安德鲁·布莱齐（Andrew Blaich）还表示，“我们进行的所有漏洞扫描中，小米4该都存在问题。”

布莱齐还表示，小米4的操作系统是未经认证的安卓版本，因此可能存在很多瑕疵。他的团队发现的很多问题和漏洞都是较老的安卓系统中存在的问题，最新版本已经修复，因此，他们认为小米4的操作系统融合了新的安卓4.4.4奇巧系统和旧版安卓系统。API中的其他一些问题导致安全人员难以判断该设备究竟是用于测试的设备，还是供用户使用的产品。

该公司还怀疑，这款设备可能被第三方篡改，因为某些应用的签名与小米的签名密钥并不相同。

周五，该公司终于收到小米方面的回复。

“我们确定Bluebox测试的设备使用的并非标准版MIUI ROM，因为我们的工厂ROM和OTA ROM从未root，也不会预置YT Service、PhoneGuardService、AppStats等服务。Bluebox购买的这款测试用机可能被篡改了，因为他们是通过中国的一家实体零售店购买的，而小米并不通过中国的第三方零售商销售手机，只通过官方网站和部分运营商销售。” ——小米国际副总裁雨果·巴拉（Hugo Barra）

巴拉还表示，公司正在调查为何小米时隔这么久才作出回应。他建议用户只从Mi.com网站和部分与小米公司合作的认证商店购买小米产品。不过，布莱齐似乎并不认可这一回复。

他写道：“如果在零售渠道中这么容易篡改设备，那么即使通过Mi.com购买，同样也可以在运输过程中篡改。”他还引述了最近一篇来自《明镜周刊》的新闻报道：美国情报部门可以在计算机到达目的地之前在其中加载恶意软件——这是一种更加现代化的***方式。他认为，如果小米智能手机已经在零售层面被黑客入侵，便有可能引发更复杂的攻击。

布莱齐在报告中指出，电子设备越受欢迎，遭到攻击的频率就越高。小米的MIUI平台拥有1亿用户，而且计划今年进军美国，这就意味着小米用户数量只会继续增长。

布莱齐的文章发表之后，小米随即就此事发布声明称：

“Bluebox测试的小米4手机很有可能早已被第三方篡改，因为那是通过非官方渠道购买的。由于中国的各个手机品牌都存在巨大的平行市场，所以第三方经常通过这类渠道篡改任何品牌的手机。小米只通过Mi.com以及移动运营商等少数受信赖的合作伙伴销售手机。另外，与Bluebox的结论相反的是，MIUI是真正的安卓系统，意味着MIUI完全遵守安卓CDD，谷歌对兼容安卓设备的定义，并且通过了所有的安卓CTS测试，这是行业内用于确保某款设备完全兼容安卓的一项流程，适用于中国和国际市场。”