拼多多解散了在应用中加入恶意功能的团队

  拼多多在第三方应用商店发行的版本中加入了提权等恶意功能,被曝光之后遭到 Google 的封杀。安全专家表示,他们从未看到过一个主流应用会像拼多多那样做。匿名拼多多员工称,公司在 2020 年组建了一支由大约 100 名工程师和产品经理组成的团队,致力于挖掘 Android 手机漏洞,开发漏洞利用方法,将其转化为利润。 消息源称,拼多多应用的恶意功能最初只针对农村和小城镇的用户,避开北京上海之类大都市的用户,此举旨在降低被暴露的风险。通过收集用户活动的大量数据,拼多多能全面了解用户习惯、兴趣和偏好,改进其机器学习模型,提供更具有个性化的推送通知和广告,吸引用户打开应用并下单。

  在被曝光之后该团队于三月初被解散。拼多多是在 3 月 5 日释出 v6.50.0 更新移除了漏洞利用代码。匿名员工称,两天之后开发漏洞利用的团队遭到解散。第三天团队成员发现他们被内部使用的工作通讯应用 Knock 锁定,失去了访问内网文件的权限。工程师访问大数据、数据表和日志系统的权限也被撤销。大部分团队成员被转移到了 Temu,被分配到不同部门,从事营销或开发推送通知的工作。20 名核心的网络安全工程师仍然留在公司。安全专家称,虽然漏洞利用代码移除了,但底层代码仍然留在那里,仍然可以被重新激活去执行攻击。


  https://edition.cnn.com/2023/04/02/tech/china-pinduoduo-malware-cybersecurity-analysis-intl-hnk/index.html