自 2017 年 9 月以来出货的许多 Google Pixel 设备都包含一个易受攻击的应用程序，可能会被利用用于恶意目的。

自 2017 年 9 月以来出货的许多 Google Pixel 设备都包含休眠软件，攻击者可能会利用这些软件来破坏它们。移动安全公司 iVerify 的研究人员报告称，该问题源于一个名为“Showcase.apk”的预装 Android 应用程序，该应用程序以过多的系统权限运行，允许其远程执行代码并安装远程软件包。

“iVerify 发现自 2017 年 9 月以来，全球出货的 Pixel 设备中有很大一部分 Android 软件包”Showcase.apk“具有过多的系统权限，包括远程代码执行和远程软件包安装功能。”阅读报告。“应用程序通过不安全的连接下载配置文件，并且可以纵以在系统级别执行代码”

该问题允许该应用程序通过不安全的 HTTP 从单个 AWS 托管域中检索其配置文件，从而使数百万台 Android Pixel 设备暴露于中间人 （MITM） 攻击。威胁行为者可以利用此漏洞注入恶意代码，以系统权限执行命令，并接管设备，从而可能导致严重的网络犯罪和数据泄露。

由 Smith Micro 开发的“Showcase.apk”包是数百万部 Android Pixel 手机固件映像的一部分，可能会提高 Verizon 商店的销售额。

应用程序“Showcase.apk”无法通过标准卸载过程删除，Google 尚未解决该漏洞。该应用程序预装在 Pixel 固件中，并包含在 Google 针对 Pixel 设备的 OTA 更新中。专家指出，虽然该应用程序默认情况下未启用，但可以通过多种方法激活，其中一种方法需要对设备进行物理访问。

这个有缺陷的应用程序被称为Verizon零售演示模式（“com.customermobile.preload.vzw”），需要数十个权限才能执行。

该应用程序自 2016 年 8 月以来一直存在 [1， 2]，但没有证据表明此漏洞已在野外被利用。

“在检索应用程序的配置文件期间，应用程序无法验证或验证静态定义的域。如果应用程序已经维护了一个持久的配置文件，那么不清楚是否进行了额外的检查，以确保命令和控制或文件检索的配置参数是最新的。“应用程序在证书和签名验证期间使用不安全的默认变量初始化，导致失败后进行有效的验证检查”

该应用程序容易受到攻击，因为其配置文件可能会在检索或传输到目标手机期间被更改。它还无法处理丢失的公钥、签名和证书，从而允许攻击者在下载过程中绕过验证过程。

需要强调的是，攻击者需要对设备和用户的密码进行物理访问才能利用此漏洞。

谷歌表示，该问题不是 Android 或 Pixel 系统中的漏洞，并宣布将在即将推出的 Pixel 软件更新中从所有受支持的市场 Pixel 设备中删除该应用程序。

谷歌也在通知其他 Android 原始设备制造商。

iVerify指出，这种担忧非常严重，以至于Palantir Technologies选择在未来几年内禁止Android设备进入其移动设备。

“Showcase.apk发现和其他备受瞩目的事件，例如在Microsoft Windows中运行第三方内核扩展，凸显了围绕将第三方应用程序作为操作系统的一部分运行的更多透明度和讨论的必要性。它还表明需要进行质量保证和渗透测试，以确保安装在数百万设备上的第三方应用程序的安全。“此外，为什么谷歌会在只有极少数设备需要该Showcase.apk的情况下在每台Pixel设备上安装第三方应用程序，这是未知的。这种担忧非常严重，以至于帮助发现安全问题的Palantir Technologies选择从其移动设备中移除Android设备，并在未来几年内完全过渡到Apple设备。