- 恶意软件不再需要诱骗每一个用户下载安装，现在它就在你的手机的预装里面，你无法删除……
正式担任 Android 安全团队高级逆向工程师和技术负责人的 Maddie Stone 在2019年8月的 BlackHat USA 演讲中震惊地披露了许多示例，说明在 Android 设备上预安装的应用如何破坏用户的隐私和安全性。演讲视频如下：
这些有问题的应用是预装在设备里面的，并且通常无法删除。
Stone 揭示了世界各地智能手机制造商的一连串滥用行为，调查结果表明，某些制造商蔑视用户的隐私和安全。
包括 Google 在内的几乎所有制造商都在未警告用户的情况下禁用了 Google Play 保护机制 —— 该功能是较新版本的 Android 中的一项功能，理论上用来阻止应用程序的恶意表现以保护用户的隐私和安全。
⚠️而其他制造商在其设备上留下了允许任何人远程执行的代码 —— 允许任何意识到这一点的恶意行为者读取手机内容，而无需物理访问，并且用户不知情。
一些制造商甚至修改了 Android OS 和 API 以允许他们看到设备上访问的每个URL，目的不明；这些行为明显违反了用户的信任和隐私人权。
Stone 甚至惊人地揭示了如何通过供应链干扰以利用预装的应用程序让恶意软件开发人员分发其代码 —— ⚠️如果恶意软件已经打包并预装在手机上，那么就根本不需要再诱使用户安装了。
最令人失望的是，揭露表明 Google 已经了解此问题已有一段时间了，这一事实已由其一位受人尊敬的工程师发现，但是，谷歌没有采取任何行动。
Privacy International 与世界其他50个非政府组织都要求 Google 改变做法并阻止制造商剥削他人。请愿书在这里。
问题
Google Play Protect ——
停用 Google Play 保护机制可以安装已知的恶意应用并且不会向用户发出警告，这也意味着预安装的应用与 Google Play 应用所遵循的标准不相同，
Sone 说：“几乎每个人都在做这种事，无声地禁用保护机制， 包括GMScore，谷歌自己也是这么做的”。
尽管已检测到有禁用 Google Play 保护机制的功能，但由于这些应用程序已经具有特权状态并且能够使用API进行通信，因此保护机制不适用于预装的应用程序。
Stone 指出 “尽管大多数人都试图重新启用此设置，但并非一直如此，有时还存在竞争状况，因此 “无法重新打开 Google Play 保护”。
多个应用程序之间合谋 ——
Stone 强调的问题之一被称为 “多个应用程序之间的” 合谋，这是预装的应用程序相对独特的问题。即 两个应用程序协同工作以完成自己单独工作时无法完成的事。
Stone 举例说，比如 其中一个app具有发送文本消息的权限，但不包含任何这么做的代码，另一个具有将短信发送到手机号的代码（例如优惠费率号码），但没有发送短信的权限。而这些应用程序具有协同工作的能力，从而使它们能够利用用户，在这种情况下是进行消息欺诈。
远程执行代码 ——
Stone 通过后门检查远程代码执行（RCE），这些是设备上存在（或注定要存在）的代码位，两个例子都来自集成商的过失，而不是故意的恶意，例如，以不受保护的方式将诊断和远程管理软件留在设备上，以不受保护的方式允许远程执行代码。
网址记录 ——
制造商通过URL日志记录修改了Android操作系统和API，以使他们能够访问设备上浏览的每个URL，这明显违反了用户的信任和隐私权。
根据 Stone 的幻灯片，这种行为可以被 Google Play Protect 检测为间谍软件。但是，如前所述，可以默默禁用 Google Play 保护。
恶意软件 ——
Stone 讨论了有关预装应用程序的供应链问题。
与传统的恶意软件不同，开发人员必须说服用户下载安装（通常是通过欺骗，例如 网络钓鱼或仿冒攻击），而这种情况下，⚠️ 恶意软件开发人员只需要说服设备制造商将其代码包含其中，它就会自动发送到成千上万的用户。
如前所述，它也将获得预装的许多好处，例如具有特权访问权限以及被包含在只读文件系统中，使用户无法删除。
在示例中，Stone 谈到了 “Chamois” 僵尸网络，该恶意软件被伪装成 “移动支付解决方案” 或 “广告SDK”。（2018年3月，Chamois 僵尸网络恶意软件感染了2000多万台设备）
她接着讨论了 Android OEM 的多样性，以及一些以 “30美元、40美元销售的，利润几乎为负” 的设备。她解释说，包括免费广告SDK可以吸引这些OEM厂商，并且恶意软件开发者知道这一点。
Stone 关于制造商舞弊规模的揭露引起了人们对 Google 认证流程的严重关注。如果您认为是时候要求 Google 认真对用户负责，并要求制造商负责，请签署隐私国际组织的请愿书。
Senior Google engineer reveals privacy bombshell in Android’s preinstalled apps