Smartfony Lenovo wysyłają dane bez zgody użytkownika

Każda firma zajmująca się tworzeniem urządzeń elektronicznych chce również zaistnieć na rynku mobilnym. Jedną z takich korporacji jest Lenovo, które od pewnego czasu próbuje swoich sił w produkcji smartfonów. Telefony tej firmy nie są na naszym rynku zbyt popularne, jednak zapewne znaleźli się nabywcy, którzy pokusili się o zakup takowego sprzętu. Niestety urządzenia mobilne Lenovo posiadają pewne problemy z prywatnością użytkowników, ponieważ pomimo wyłączenia odpowiednich opcji urządzenia i tak wysyłają pewne dane do specjalnej centrali. Cała sprawa została nagłośniona przez jednego internautę, który posiada telefon Lenovo A820 i postanowił sprawdzić jak zachowuje się ruch internetowych, kiedy urządzenie jest podłączone do sieci. Nim to jednak zrobił w ustawieniach urządzenia wyraźnie zaznaczył, iż nie wyraża zgody na zbieranie i wysyłanie danych na serwery producenta.

Niestety, oprogramowanie ewidentnie ignoruje ten komunikat. Jak w takim razie przebiega komunikacja? Urządzenie po połączeniu z siecią wysyła żądania HTTP, które wyglądają następująco:

Jak widzimy, żądanie wysyłane jest pod adres https://fsr.lenovomm.com/reaper/server/report i z analizy autora wynika, iż domena faktycznie należy do firmy Lenovo.

Domain Name: LENOVOMM.COM
Updated Date: 2011-10-25 14:16:03
Creation Date: 2009-09-02 01:57:25
Expiration Date: 01-sep-2016
Registrant Name: Zhang Joan
Registrant Organization: 联想（北京）有限公司 Lenovo (Beijing) Ltd.

Jeżeli pozwolimy urządzeniu dalej pracować, to w pewnym momencie wysyłane są specjalne żądania POST wyglądające mniej więcej w ten sposób:

ctx=1.9.2!0!RT3N00LZP3B8!null!34f026042e4ea305!417780254
!540×960!1999422605!1408440981081!1411986938695!1411986940362
!1411987204942!73!2!sn!0123456789ABCDEF!bu!!
&evt=LeLauncher!L02!com.lenovo.ideatool!1!

Z tego ciągu znaków można dowiedzieć się następujących informacji:

Wersja (nie potwierdzone): ctx=1.9.2
Unikatowy identyfikator : 34f026042e4ea305
Rozdzielczość ekranu: 540×960
Znacznik czasowy: 1411986940362 = 29 wrzesnia 2014 13:01:29 GMT
Numer seryjny telefonu: 0123456789ABCDEF (zmieniony przez autora ze względów bezpieczeństwa)
Rodzaj wydarzenia: evt=LeLauncher!L02!com.lenovo.ideatool

To nie koniec wrażeń...

Co ciekawe, urządzenie potrafi wysyłać kilka różnych czynności na serwery korporacji, takie jak:

• Uruchomienie telefonu
• Instalowanie aplikacji
• Usunięcie aplikacji
• Wyszukiwanie aplikacji
• Dodanie elementu do pulpitu
• Zmiana tapety
• Zmiana wyglądu

Urokowi całej sytuacji dodaje fakt, że wszystkie połączenia są inicjowane przez firmową nakładę na interfejs systemu o nazwie IdeaDesktop, czyli można wysnuć podejrzenia, że opcja wyłączenia zbierania informacji jest celowo ignorowana przez producenta i to on w całości ją kontroluje. Jak się okazuje, tego typu przypadki z urządzeniami Lenovo wcale nie są żadną nowością. 9 miesięcy temu w serwisie Reddit inny użytkownik również zauważył podejrzane zachowanie swojego urządzenia. Jesteśmy ciekawi, czy tego typu sztuczki stosowane są również w laptopach.

Źródło: Reddit / Ximarl