趨勢macOS全家桶隱私竊取分析

趨勢全家桶 所有app資訊如下：

事件曝光之後，相關產品已經從appstore下架，只剩兩個wifi相關app：

好在此前已經安裝過部分相關應用，故藉此對其分析驗證

啟用產品時會獲取的資訊，都是比較常規資料

部分服務所需的資料，其實比較敏感的有訪問過的URL、域名、IP等資訊，和可疑郵件的收發件人及附件等，當然具體都需要看實際產品功能來判斷

Dr.Unarchiver產品資訊如下：

通過抓包分析實際並未發現上傳隱私：

然而程式程式碼中卻明確出現Firefox、Chrome、Safari等瀏覽器記錄資料庫檔案目錄字串：

通過字串跳入程式碼，即讀取瀏覽器隱私的部分程式碼，以下為讀取chrome記錄：

讀取Safari歷史記錄：

Dr.Unarchiver裡讀取隱私部分主要位於-[DACollector *]模組中，從模組命名可以發現，除了3個瀏覽器記錄，同時還讀取了AppStore歷史記錄、裝置裝機列表、使用者資訊等。

獲取裝置裝機列表方式通過執行“/usr/sbin/system_profiler -xml SPApplicationsDataType“指令來完成：

該指令執行後獲取資料如下，包含了app的安裝時間、路徑、證書等資訊：

另外比較有意思的地方為，程式中還有照片庫的字串及相關程式碼

獲取隱私後上傳地址如下：

Dr. Unarchiver for Mac Data Collection Notice

下圖為Dr. Antivirus介面：

Dr. Antivirus中獲取資訊模組與Dr. Unarchiver完全一樣：

但相對的，多出了post回傳模組，不過Dr. Antivirus作為反病毒軟體，回傳裝機列表也屬於正常行為：

通過動態抓包，可以確定Dr. Antivirus會回傳裝置裝機列表：

另外會上傳一個“file.zip“包，回傳路徑與Dr. Unarchiver分析一致：

從上傳的資料包中提取出“file.zip”檔案，發現已經加密：

分析該部分程式碼，發現使用金鑰為“novirus”

解密後可以看見都是獲取的瀏覽器記錄和app列表等資訊：

如下圖為chrome瀏覽器記錄：

其實甚至還單獨篩出了google搜尋記錄：

Dr. Antivirus Data Collection NoticeA

DrCleaner介面如下：

DrCleaner獲取隱私資訊模組名與之前二者有所不同，但獲取的隱私、方法名、程式碼基本一樣：

DrCleaner同樣使用“novirus”作為zip包加密金鑰：

[Dr. Cleaner Data Collection Disclosure] https://esupport.trendmicro.com/en-us/home/pages/technical-support/1119854.aspx

DrBattery初次執行會要求訪問使用者主目錄（其他程式初次執行也都會申請相關訪問許可權）：

DrBattery中有著與DrCleaner完全一樣命名方式的隱私獲取模組：

Dr. Battery Data Collection Notice

AppManager即App Uninstall初次執行要求申請相關訪問許可權，該應用中未發現相關隱私獲取程式碼：

App Uninstall Data Collection Notice

測網速大師Dr. WiFi執行介面，該app中未發現相關隱私獲取程式碼：

Dr. WiFi Data Collection Disclosure

家庭網路衛士Network Scanner初次執行顯示的隱私政策及要求申請相關訪問許可權，該應用中未發現相關隱私獲取程式碼：

HouseCall for Home Networks (for Windows & Mac) v1.1.7 Data Collection Notice

而在 A Deceitful ‘Doctor’ in the Mac App Store 一文中，分析的應用為“Adware Doctor”，與本文趨勢全家桶並非同一證書：

但二者卻有諸多相同點，如獲取隱私的方法名及相關程式碼：

通過sandbox介面訪問資料部分模組，其類名、方法名、相關程式碼也基本一致，故推斷二者可能為同一開發者（趨勢的臨時工？）

在溯源過程中通常會參考絕對路徑裡的username，但這些app中均只有“autobuild”和“jenkinsbuld”兩個id，開發者對自我有一定的隱藏意識：

而 Jenkins 更有可能為開發者使用下圖中整合工具時起的id