Вирусы в китайских телефонах из российских магазинов

Сегодня хочу дополнить мою заметку по поводу вирусов и троянов в китайских мобильных, которые продают в России.

Хотелось бы рассказать правду кто и как делает прошивки устройств, которыми пользуются российские покупатели.

Кому лень читать, на прошлой неделе я прокомментировал вредоносное ПО в смартфоне Tecno и рассказал, с какими вирусами и троянами я сталкивался во время работы на локальные торговые марки.

На мобильных телефонах это вредоносное ПО без согласования отправляло платные сообщения на неизвестные пользователю номера или подписывало пользователя на ненужные платные сервисы.

На смартфонах вредоносное ПО показывало рекламу и так же пыталось оформить ненужные подписки.

Я рассказал, каким образом мы их обнаруживали и удаляли из прошивок подобные программы. И так же поделился информацией, что вирусы сознательно подсаживали для извлечения выгоды в России.

Внимательные читатели добавили данных о личном опыте и ссылок на похожие статьи. Я мобильными и смартфонами не занимаюсь давно, но, как смотрю, ситуация с вредоносным ПО не меняется.

Эта проблема не новая. Вредоносные файлы на смартфонах и мобильных телефонах из коробки пользователи обнаруживают с завидной периодичностью (см. сверх популярную статью на Хабре, которой почти три года). Эти материалы привлекают внимание, но глобально проблема не решается. Это происходит и из-за ограниченных возможностей локальных брендов, которые производят телефоны в Китае.

Немного обо мне и моём опыте, чтобы вы понимали, что о ситуации с вредоносным ПО я не «где-то слышал», а лично сталкивался.

Я беспрерывно работаю с китайским производством уже более 13-ти лет. И знаком со многой спецификой и особенностями этого бизнеса. Ранее я занимался мобильными, смартфонами и устройствами передачи данных, сейчас переключился на потребительскую электронику попроще.

Опыт с мобильными я получил во время работы на российский бренд teXet (до 2016 года) и чешские FlameFox & Alligator (2014-2018 гг). Время идёт, а ситуация не меняется.

В статье на Хабре от 2021 года описаны те же самые вредоносные программы, которые мы выявляли за 7 лет до этого и мои коллеги около 2020-го года (за год до выхода статьи). Вот только в 2021 году вирус отправляет платные сообщение и делает подписки уже без участия пользователя, достаточно вставить SIM.

Обратите внимание на названия торговых марок, в которых вредоносное ПО было обнаружено. Скажем честно, это не первая линия (а иногда и не вторая). Автор статьи на Хабре обнаруживает вредоносное ПО в брендах F+, Irbis, Itel, Inoi и других. Я работал в teXet, знаю об опыте коллег из бренда Dexp. Честно - это не самые известные бренды. Марки FlameFox & Alligator тоже не первый эшелон даже в Чехии, несмотря на то, что продаются там и сегодня.

Объединяет эти и другие марки второго эшелона одно: ни у нас, ни у других локальных брендов не было доступа к исходным кодам программного обеспечения мобильных устройств. Как нет его и сейчас, иначе ситуация с вредоносным ПО не повторялась бы.

Прошивки как для кнопочных телефонов, так и для смартфонов создавались и создаются исключительно в Китае. Разработчики плат замыкают этот процесс на себя и противятся любым запросам исходников.

Исходники не давали ни нам, ни фабрикам, которые собирали мобильные телефоны и смартфоны на своих линиях. Даже, если нам удавалось самостоятельно вскрыть исходные коды с помощью программистов, производители плат отказывались использовать модифицированное программное обеспечение под угрозой снятия гарантии с плат.

То есть если в платах обнаруживался брак, предъявить претензии поставщику компонентов мы уже не могли. Дальнейшее обновление ПО так же ложилось бы на наши плечи, как и анализ багов готовых устройств с последующим их исправлением.

У локальных брендов ресурсов на такую поддержку и модификацию прошивок физически нет. Даже небольшие китайские компании, работающие в определенных нишах, так же привязаны к производителям плат в вопросах обновления ПО (об этом – ниже).

Здесь хотел бы процитировать свою книгу «Китайцы: руководство по применению» , где эта ситуация была описана в деталях. Книгу я выпустил в 2020 году, а написал ещё раньше.

Прошивка разрабатывается не в офисе локального бренда и не его программистом. Перечень недоработок и требования к изменения к ПО собирает, перепроверяет и сводит инженер, после чего отправляет в Китай.

Работа с исправлением кода ведётся уже в Поднебесной, но и здесь цепочка наращивает дополнительные звенья и условия. 90% поставщиков устройств не разрабатывают ПО, у них нет ни инженеров, которые умеют работать с исходным кодом, ни исходных кодов.

Прошивку, патчи, «заплатки» и обновления в Китае делает производитель плат, с которым сотрудничает поставщик. Если, конечно, поставщик действительно сотрудничает с фабрикой плат, а не перехватывает платы у перекупщиков или скупает стоки у партнёров.

Поставщики плат тоже разные. Одни официально покупают чипсеты у производителей, платят за лицензии и имеют поддержку, а другие покупают продукцию через вторые руки.

Производитель плат никому не даёт исходных кодов и держит информацию в своих руках. Производители плат сами разрабатывают изменения, сами тестируют новые релизы. Даже документацию на платы они предоставляют с боем после угроз, что не получат заказ. Ситуация не меняется годами, сколько бы проектов заказчик ни сделал с одним поставщиком и производителем плат.

У этой цепи из нескольких звеньев есть и другие особенности. Большая часть китайских программистов не понимает английского языка, и требования к доработке ПО им переводит аккаунт-менеджер китайской фабрики.

Вот как выглядит эта цепочка: менеджер регионального заказчика на английском создаёт требования для устройства, менеджер поставщика переводит требования на китайский для инженера, инженер оценивает эти требования и отправляет дальше с пометками и комментариями. Реализуется это ровно так, как было понято. Чаще всего менеджер регионального заказчика (как и китайский коллега) - не носитель английского языка, а китайский партнёр - не технический специалист. Неудивительно, что разночтения в этой цепи бывают часто…

… Китайцы не являются хорошими программистами. Профессионалы отмечали низкий уровень подготовки программного обеспечения, когда разбирали исходный код недорогих смартфонов брендов В и С, построенных на базе MediaTek, Spreadtrum (Unisoc) и Qualcomm. Согласно замечаниям профи, базовую китайскую прошивку следует разобрать, очистить от мусора, оптимизировать и только после собирать заново.

Но ещё раз повторюсь, что коды производители плат не дают. По словам разработчика плат, «программное обеспечение, созданное не в их лаборатории, не может гарантировать качественной работы платы в целом и её компонентов в отдельности». Ставить авторское ПО давали только после того, как гарантийные обязательства по поддержке и обслуживанию плат снимались.

Поэтому у локальных брендов часто есть только один вариант: использовать не самое лучше ПО от производителей плат (с возможными вирусами, которые подсадили по просьбе других российских компаний).

На скорость и качество релиза новой версии программного обеспечения влияет и величина заказа. Везде и всюду китайцы измеряют ситуацию юанем: хороший и уважаемый заказчик – только тот, кто заказывает много. Для небольших заказов китайцам делать прошивку невыгодно и потому неинтересно. Особенно для оплаченного заказа, который уже отгрузили. На запрос изменения или исправления ошибок часто приходит ответ вроде «задача не является приоритетной». Приоритет повысится с перспективой заказа новой партии.

Об этом я так же много писал в первой книге.

В подобной ситуации оказываются не только иностранные региональные торговые марки, но и китайские. К примеру, есть хорошая китайская марка AGM, которая делает отличные защищённые телефоны и смартфоны. На их фабрике в своё время свои модели собирал Caterpillar.

Я знаю эту компанию 12 лет и работал с ней и как заказчик, и как дистрибьютор. AGM два раза выходили на рынок России и каждый раз сворачивали деятельность из-за своей жадности и ограниченности. Свои хорошие мобильные устройства они не умели продавать.

Но речь не об этом. Так вот даже у поставщика Caterpillar и далеко не «китайского ноунейма» со своей собственной фабрикой исходных кодов от смартфонов не было. Прошивки для кнопочных телефонов делались на фабрике под руководством инженера Пансонга, а требования к прошивкам для смартфонов AGM точно так же отправляли производителям плат.

Вот мы с Пансонгом на их старой фабрике в Шеньчжене (сейчас они переехали в другой город и на новом производстве я ещё не был).

Поэтому если обнаруживался какой-то баг, оперативных исправлений AGM выложить не могли, так как коды были не у них. Пользователи жаловались, что у дорогих смартфонов плохая камера или какие-то другие глюки. Но AGM не мог это исправить своими силами.

После ваших, друзья, комментариев меня не покидает ощущение, что и бренд Tecno не разрабатывает прошивку самостоятельно или в глазах производителей плат является мелким брендом, который исходников не получает.

Судите сами: в 2021 году пользователь Хабра обнаруживал несанкционированную продажу контента в кнопочном телефоне Itel, который входит в Transsion, объединяющий бренды Tecno, itel, Infinix, Spice.

В 2024 году пользователь Пикабу обнаруживает вредоносное ПО в смартфоне Tecno, который входит в тот же самый холдинг. Как говорится, без намёков, только факты.

Здесь хочу процитировать уже свою вторую книгу «Китайцы: коммунизм на продажу» . Она вышла через три года после первой книги в 2023 году, и показывает, что с прошивками небольших брендов ничего не меняется.

Помню ситуацию, когда, набрав заказов для одного рынка, китайцы произвели мобильные телефоны одного клиента с… программным обеспечением другой торговой марки! Второй бренд также покупал товар на этой китайской фабрике. Дизайн мобильных телефонов отличался, но плата использовалась та же, что и у конкурентов.

Закупив ключевые компоненты для сборки, производитель перепутал платы и то ли не заметил этого, то ли не подумал, к чему приводит подобный пересорт. Телефонов клиенты заказали много, товар следовало сдать вовремя, а не разбираться в тонкостях. Телефоны произвели, аппараты работали: звонили и отправляли сообщения.

Но в финальной партии клиент номер один получил некоторое количество аппаратов с программным обеспечением клиента номер два, а клиент номер два — аналогичное количество аппаратов с программным обеспечением клиента номер один. Чужая прошивка обнаруживала себя только при включении. Сколько таких телефонов было в партии, не могли сказать ни заказчики, ни поставщик. Проверка показала, что аппараты с прошивкой конкурентов попадаются неравномерно: в одной групповой коробке на пятьдесят телефонов таких устройств встречалось сразу пятнадцать штук, а в другой — ни одного.

В итоге клиенту номер один уже у себя в стране пришлось перепрошивать все сто тысяч устройств из этой партии и отзывать мобильные аппараты из торговых сетей. Поставщик после сильного сопротивления согласился на компенсацию трудозатрат. Следующую партию с той же фабрики проверял уже другой инспектор, сильно увеличив выборку.

Так что, друзья, не стоит удивляться вирусам и вредоносному ПО в прошивках, создание которых сам локальный бренд не контролирует. Я не говорю, что это норма, но не у всех есть ресурсы даже на базовое тестирование мобильных устройств.

Часть из упомянутых в статье марок в лучшем случае делают перевод. Говорю как человек с опытом работы в отрасли, и который сам формировал требования к прошивкам и занимался тестированием.

Вирусы и вредоносное ПО в прошивках – не норма, локальный бренд должен за это отвечать и устранять, но зачастую представители торговой марки узнают о таких сюрпризах только из обращений пользователей.

Марки второго эшелона никуда не денутся потому, что вы их покупаете. Да и я покупаю их тоже. Рынку нужны недорогие не самые надёжные устройства с недолгим сроком службы. Иначе их бы не продавали. Эта ниша никуда не денется, и нет ничего зазорного в покупке недорогих мобильных или смартфонов.

Но покупая в принципе любую технику от неизвестных марок или брендов второго эшелона, будьте готовы к сюрпризам: так же надёжно и хорошо, как ведущие марки эта техника работать не будет хотя бы потому, что там использовались качественно иные компоненты. Иногда второго сорта, а иногда и бывшие в употреблении.

Благодарю за внимание!

***

Тринадцать лет занимаюсь производством и закупками электронных товаров в Китае. Делюсь опытом. Пишу о своих проектах, специфике поставщиков и современной жизни Поднебесной.

Веду телеграм-канал.

Издал книги:

 «Китайцы: руководство по применению» (2020) (доступна на LitRes, Ozon и WB).

«Китайцы: коммунизм на продажу» (2023) (доступна на LitRes и Ozon).

Всегда рад новым подписчикам.