Правительство США несколько месяцев назад запретило американским компаниям вести бизнес с китайской технокорпорацией Huawei. Недавно Huawei выпустила смартфон Mate 30 Pro, который оказался первым телефоном компании, оставшимся без приложений Google. Это серьезный недостаток устройства, поскольку теперь оно поставляется без экосистемы приложений Android и без таких популярных приложений, как Play Store, Gmail, Google Maps, YouTube, Chrome, Google Assistant и других.

Интернет, как обычно, придумывает свои способы, как получить приложения Google на Mate 30 Pro. «Серая» установка приложений не нова, и легко можно найти приложения на устройствах, которые обычно с ними не поставляются. Однако, как правило, методы установки приложений работают либо с помощью разблокированного загрузчика, который позволяет пользователям «перетаскивать» приложения Google в системный раздел, предназначенный только для чтения, либо на «заглушки», оставленные в системном разделе производителем устройства специально для приложений Google. На Мате 30 не работает ни один из методов.

Тем не менее, в сети появился новый метод загрузки приложений Google на Mate 30 — через веб-сайт Lzplay.net. Сайт, как пишет ArsTechnica, устанавливает шесть системных приложений в мгновение ока практически без взаимодействия с пользователем. Однако, заявляет издание, этот сайт — настоящий «кошмар безопасности для Android».

Lzplay.net подключается к API удалённого управления смартфонами на Android. Удалённое управление позволяет получить такой же контроль над устройством, как если держать его в руках: устанавливать и удалять приложения, изменять пароль, выполнять удаленную очистку устройства и сделать миллион других вещей. На этом этапе владелец смартфона должен остановиться и подумать, хорошая ли это идея — предоставлять эти права неизвестному объекту.

Как пишет ArsTechnica, никто не знает, кому принадлежит Lzplay.net и заслуживает ли сайт доверия. Поиск в Whois показывает, что сайт расположен в материковом Китае и был создан всего три месяца назад. Сейчас в интернете появилось множество рецензий и видео, посвящённых Lzplay. Однако, как правило, в них рассказывается только как пользоваться сервисом. Вы посещаете веб-сайт, устанавливаете приложение Lzplay, а затем предоставляете ему права администратора устройства, после чего оно выполняет свою функцию и устанавливает приложения Google. На этом этапе большинство руководств поздравляет вас с тем, что вы справились со своей задачей, и предлагает перезагрузить смартфон. Почти нигде не упоминается о том, у вас по-прежнему установлено это приложение Lzplay в качестве администратора устройства.

У сферы моддинга Android всегда были проблемы с безопасностью. В его рамках пользователи часто устанавливают приложения с широкими полномочиями, и эти полномочия могут нанести вред системе смартфона. Сообщество обычно обходит подобные проблемы путем установки приложений с открытым исходным кодом, где любой может проверить код и посмотреть, что делает то или иное приложение, или с помощью нескольких надежных разработчиков, которые существуют уже много лет и показали, что пользователи могут им доверять.

Метод Lzplay.net не подходит ни под одно из требований безопасности сообщества. Конечно, Lzplay может и не сделать ничего плохого сегодня, но поскольку у него остаются права администратора устройства, завтра оно может легко заполнить ваш телефон майнерами биткоинов, удаленно установить вирусы-вымогатели или заблокировать ваш телефон.

Несмотря на явную небезопасность сервиса, он демонстрирует быстрый рост популярности за последние две недели. Отчасти он объясняется тем, что альтернативных методов для установки приложений Google на Mate 30 действительно нет. Приложения Google всегда поставляются как часть операционной системы смартфона. И, поскольку Mate 30 не имеет разблокированного загрузчика, который позволил бы пользователям самостоятельно внести приложения Google в системный раздел, не должно быть никакого способа оснастить Mate 30 приложениями Google. Тем не менее, Lzplay это удается.

ArsTechnica утверждает, что способ довольно подозрителен. Lzplay включает специальные разрешения, которые существуют только на Huawei Mate 30 — разрешения, которые позволяют стороннему приложению помечаться как системное и получать разрешения, которые обычно ему не доступны. Другими словами, Huawei добавил свой собственный бэкдор, который нарушает систему разрешений Android, и Lzplay использует его. Как утверждает в комментарии изданию Джон Ву, исследователь безопасности Android: «На данный момент совершенно очевидно, что Huawei хорошо знает об этом сервисе Lzplay и явно допускает его существование».

Huawei уже спросили, стоит ли она за Lzplay, и Huawei отвергла эту идею и сделала следующее заявление в Android Central: «Huawei не имеет никакого отношения к www.lzplay.net».

При этом, сообщает ArsTechnica, исследовать сервис Lzplay трудно, так как он «довольно запутанный». Как считает Джон Ву, кто-то старался изо всех сил скрыть, что именно делает Lzplay, как он работает и кто его создал.

На данный момент смартфон Mate 30 доступен только в Китае. Компания Huawei пока не ведет бизнес в США, но широко представлена в Европе, где является вторым по величине производителем смартфонов после Samsung с долей рынка 18%.

Комментарии (17)


  1. LAG_LAGbI4
    04.10.2019 15:28

    да тому же хуавею и принадлежит


  1. DrunkBear
    04.10.2019 15:45

    Что-то мешает дать права сайту, поставить гуглосервисы и отозвать права / удалить lzplay?


    1. qw1
      04.10.2019 15:50

      The two undocumented MDM permissions discovered by John Wu are:

      com.huawei.permission.sec.MDM_INSTALL_SYS_APP
      com.huawei.permission.sec.MDM_INSTALL_UNDETACHABLE_APP

      At the risk of stating the obvious: The former is a permission to install system apps, and the latter is a permission to install an app which can't subsequently be uninstalled


      1. DrunkBear
        04.10.2019 16:36

        Видел эту статью.
        Но чтоб поставить неудаляемые приложения нужно держать установленным этот lzplay — а если его удалить, опасность всё равно сохраняется?


        1. qw1
          04.10.2019 17:08

          com.lzplay.helper.apk нельзя удалить с устройств Huawei, потому что внутри манифеста присутствует com.huawei.permission.sec.MDM_INSTALL_UNDETACHABLE_APP (специально сейчас нашёл apk, и проверил список разрешений).


          1. DrunkBear
            04.10.2019 17:44

            Тогда не очень хорошо.
            А если ручками манифест поправить и убрать эту строку?


            1. qw1
              04.10.2019 17:50
              +1

              Не выйдет, потому что нерутованный девайс Huawei не установит приложение с необходимым для установки Google Play системным разрешением com.huawei.permission.sec.MDM_INSTALL_SYS_APP, если оно не подписано ключом Huawei.

              В-общем, Huawei огороженное болото, с которым не стоит связываться. Если хочется дёшево и открыто (с рут-правами), стоит смотреть в сторону бренда OnePlus, пока он дружелюбен в плане модификаций прошивок.


              1. DreamingKitten
                04.10.2019 18:06

                нерутованный девайс Huawei не установит приложение с необходимым для установки Google Play системным разрешением com.huawei.permission.sec.MDM_INSTALL_SYS_APP, если оно не подписано ключом Huawei.
                Я правильно понял, что это значит, что приложение LZPlay подписано ключём Huawei? Тогда какой смысл в их отмазках?


                1. Kyoki
                  04.10.2019 18:13
                  +1

                  Все приложения, которым нужно Huawei Security Authorization SDK, просматривается Huawei и подписывается их ключом, иначе просто права не выдадутся.


              1. Blaine_Mono
                04.10.2019 21:40
                +1

                Еще у xiaomi с получением рут прав более менее нормально. В miui линейке конечно приходится получить разрешение, но в отличии от huawei оно хотя бы выдается.
                А в android one линейке все именно так как и должно быть, путем утилиты fastboot и установки magisk.


          1. ObitoUchiha1985
            05.10.2019 12:23

            А через multitool тоже нельзя "удалить"?


            1. qw1
              05.10.2019 13:05

              Какая разница, какими тулзами делать изменения, если apk после модификации придётся переподписать, а права с префиксом com.huawei.* работают только в приложениях с подписью huawei.


              1. ObitoUchiha1985
                05.10.2019 13:10

                Ну я не знаю как оно там работает, но системные приложения «удаляет» запросто. Вот и написал по этому.


                1. qw1
                  05.10.2019 13:21

                  Я думал, речь о softfamous.com/android-multitool
                  А вы, скорее всего, о 4pda.ru/forum/index.php?showtopic=759172
                  Тут не знаю, нужно пробовать.


            1. atbuhw
              05.10.2019 15:19

              Даже если multitool скажет, что удалено успешно, при установке lzplay система уже была скомпрометирована на самых низких уровнях, а поэтому нет уверенности, что multitool говорит правду.


              1. ObitoUchiha1985
                06.10.2019 17:54

                Ну так мультитул просто использует ADB команды.
                Соответственно он просто говорит выполнена команда или нет. А будет ли приложение после этого работать я не знаю, но пользователь его запустить никак не сможет.


  1. SakuradaJun
    04.10.2019 15:57
    +1

    Ради того, чтобы засунуть себе зонд от гугла, люди готовы засунуть себе еще один зонд.
    image