Cẩn trọng khi dùng phần mềm Pitu

Hồi giữa tháng 1/2017, Công ty Tencent (Trung Quốc) đã tung ra ứng dụng chỉnh hình ảnh trên các thiết bị di động (smartphone, tablet) có tên Pitu, cho phép người dùng “hóa thân” vào các nhân vật trong phim cổ trang Trung Quốc. Với hình ảnh được chỉnh sửa vui nhộn, bắt mắt, ứng dụng miễn phí này nhanh chóng thu hút người dùng với hơn 5 triệu lượt tải về từ kho Google Play (tính tới thời điểm hiện tại).

Theo Bkav, kết quả phân tích sơ bộ file cài đặt cho thấy, Pitu yêu cầu một số quyền truy cập thông tin trên thiết bị di động vốn không cần thiết cho tính năng của ứng dụng, như: Quyền mở một kết nối bluetooth đến một thiết bị bluetooth khác; quyền tự động mở một kết nối wifi change_wifi_state; quyền tạo và truy cập Internet; quyền truy cập vào định vị vị trí của thiết bị (GPS) - access_fine_location, access_coarse_location; quyền đọc thông tin của thiết bị (ID, các ứng dụng, IMEI, số điện thoại, các cuộc gọi…) - read_phone_state; quyền kiểm tra các ứng dụng, chương trình đang chạy trên thiết bị - get_tasks; quyền đọc và ghi vào bộ nhớ thiết bị, thay đổi cấu hình và dữ liệu của thiết bị - write_settings, read_phone_state, read_logs…; quyền ghi lại các cuộc hội thoại - record_audio.

Ông Nguyễn Hồng Sơn - chuyên gia phụ trách mảng an ninh hệ thống của Bkav, nói: “Với ứng dụng chỉ gồm tính năng về chỉnh sửa ảnh như Pitu thì việc yêu cầu truy cập các thông tin nhạy cảm như trên là không cần thiết. Điều này có nguy cơ gây mất an ninh đối với dữ liệu người dùng, thậm chí chúng có thể theo dõi người dùng”.

Ứng dụng Pitu liên tục kết nối và gửi dữ liệu tới các địa chỉ IP của các server đặt tại Trung Quốc như: http://log.tbs.qq.com; https://qpiksvr.xiangji.qq.com. Tuy nhiên dữ liệu được mã hóa, các chuyên gia Bkav đang tiến hành phân tích.

Đặc biệt, ứng dụng Pitu còn tự động tải về và cài đặt file tbs_res_imtt_tbs_release_tbs_core_3.0.0.1049_04302 4_20170120_170945.tbs từ server http://103.7.29.178/soft.tbs.imtt.qq.com.

“Tại thời điểm phân tích, thì file trên là một ứng dụng để thực hiện việc “test”. Tuy nhiên, tính năng tự động tải file này có thể được sử dụng để tải và chạy các ứng dụng độc hại trên điện thoại của người dùng”, ông Nguyễn Hồng Sơn, cho biết thêm.