Finger weg von ES Datei Explorer (Spyware inside)

[ooo]

Quelle zeit.de
Baidu-Browser: Wer hiermit sucht, ist schnell zu finden

Nicht nur Apps von Baidu betroffen
Einige Schwachstellen sind den Forschern zufolge auf ein Software Development Kit (SDK) für Statistiken auf Android von Baidu zurückzuführen. Ein SDK bündelt Software, damit Entwickler leichter Anwendungen für ein bestimmtes Betriebssystem programmieren können.

Nicht nur Baidu entwickelt Apps über das SDK, sondern auch andere Firmen. Daher kann die Schwachstelle in weiteren Programmen auftauchen, etwa im Dateimanager ES Datei Explorer, der im Play Store von Google auf mindestens 100 Millionen Downloads kommt. Die Programme senden die Gerätenummer IMEI, den aktuellen Standort und Informationen zu Netzwerken in der Nähe an die Baidu-Server. Die Daten werden entweder unverschlüsselt übertragen oder sind leicht zu entschlüsseln.

___

Quelle xda-developers.com
Baidu Browser Found to be Leaking Personal User Data

[...]If you’ve installed the browser, or any application that was developed using the Baidu SDK (such as ES File Explorer), then it’s possible some of your personal data may have been compromised. The security leakage found in applications developed using Baidu’s SDK is massive, and the fact that the data was transmitted unencrypted (or with easily decryptable encryption) shows how little effort Baidu took in securing your personal data. Was it all transmitted to the Chinese government? While we can’t confirm either way, Baidu denies any such allegation according to a statement made to Citizen Lab.
[...]

Übersetzung

[...] Wenn Sie diesen Browser, oder Applikationen, die mit dem Baidu SDK entwickelt wurden (wie z. B. ES Datei-Manager) installiert haben, dann ist es möglich, dass Teile ihrer persönlichen Daten kompromittiert wurden. Die Sicherheitslücke, die in mit dem Baidu SDK entwickltlen Apps gefunden wurde, ist massiv und die Tatsache, dass die Daten unverschlüsselt (oder mit leicht zu entschlüsselnder Verschlüsselung) übertragen werden, zeigt, wie wenig Anstrengungen Baidu unternahm, die persönlichen Daten abzusichern. Wird alles an die chinesische Regierung übertragen? Während wir das nicht bestätigen können, weist Baidu eine solche Anschuldigung - mit dem Hinweis auf eine ggü. dem Citizen Lab gemachte Aussage - von sich.
[...]

___

Auch hier (eigene Quelle aus 2014 - Siehe unteren Teil des Beitrags zu ES File Explorer)
[ROM] CyanogenMod 11.0 (Android 4.4.4) | Seite 307

Und ebenfalls mein Hinweis auf ES File Explorer eingesetzt als Root-App (von Ende 2015)
Warnung zu Root-Apps (mit ausführlicher Erklärung)

Ein weiteres Beispiel ist der beliebte ES File-Explorer: Macht alles, kann alles, ist einfach genial.
Mein Problem mit der App: Man vergibt root, die App lernt mit der Zeit alle möglichen Accounts (Benutzername/Passwort) für LAN (FTP, SMB, SSH) und die Clouds (Google, Dropbox etc.) UND verbindet sich zyklisch mit Baidu (chinesisches Amazon/Google) und irgendeiner IP in der chinesischen Provinz (laut DNS). - Das dann vorgeblich für Checks auf Updates. - Ah, ja. - Tjoa ...

 

[Rak]

Hi, danke für den Hinweis. Ich hatte den ES Datei Explorer früher lange zum Testen installiert gehabt ("Mein" Datei Explorer ist "Solid Explorer").

Schon immer genervt hatte mich, dass immer wieder Verbindungen zu deren Server aufgebaut wurden (kann man selbst mit der App "SockStat"überprüfen). Dann kam noch der" Reinigungs-Unfug" dazu, der mich direkt an Cheetah Mobile erinnerte (ob zu Recht, weiß ich nicht). Danach dann runter mit dem ES Datei Explorer.

Es sind aber viele (noch?) begeistert von dem Teil.

 

[ooo]

No Mercy Mode (Keine-Gnade-Modus):

Nicht nur deinstallieren, sondern Werksreset - besser Firmware neu flashen (auf allen Phones).

Auch die SSID und das Passwort der eigenen W-LANs ändern (wenn möglich via LAN-Kabel, nicht wireless, besser Router-Reset bzw. dessen Firmware neu aufspielen. - Gilt eigentlich auch für sämtliche anderen Geräte im LAN, wie Rechner, NAS, TV, Haus-Automation etc., IP-Ranges ändern ...).

Erst danach alle Passwörter aller Accounts ändern, die jemals auf dem Phone zusammen mit ES Datei-Manager aktiv waren.

Die Änderung der Passwörter von einem Gerät (Phone/Rechner) von einem *fremden* (W-)LAN aus durchführen, zu dem der ES Datei-Manager noch nie (direkten) Kontakt hatte. - (Im Ernstfall sind die Account-Daten nämlich alle schon in der Cloud und evtl. weitere Software auf Devices im eigenen W-LAN installiert.)

Und vergesst nicht, den Leuten Bescheid zu sagen, die ihr mit deren Devices in eurem LAN hattet oder bei denen euer Phone/Rechner 'mal Gast war ...

Wer jetzt denkt: "Was für ein Stress, neee, du, hab' keinen Bock!", dem wünsche ich viel Glück ...

 

[mratix]

Dass mit dem ES etwas nicht stimmt, hab ich seit langem im Auge.
Die sinnlosen Rechte hab ich mit AppOps deaktiviert. Nachdem es fehlerfrei weiterlief war klar, wozu es (permanente Zugriffsversuche nach Außen) bestimmt ist.
Auch die deaktivierte Versionsprüfung hat keinen Einfluss auf dieses Benehmen.

Irgendwann (anfangs der v4.0) hab ich aufgehört weiter zu aktualisieren. Insbesondere wg. dem starken App-Ausbau mit irgendwelchen Unnütz.

Nun ist es endgültig Zeit für Ersatz. Auch wenn ich das Ding ganz doll mag

 

[j-m.s]

Witzbolde!
Das was Baidu macht ist genau das gleiche was Google auch macht!

Dem Bericht zufolge sendet der Baidu-Browser für Android den aktuellen GPS-Standort, besuchte Internetseiten und eingegebenen Suchanfragen an Baidu.

Nein wirklich, die schicken bei einer Internetsuche doch tatsächlich die Suchanfrage an die Baidu-Server? Das ist ja unerhört!

Es grüsst ein Dipl.Informatiker....

 

[ooo]

Vllt. falsch verstanden. - Es geht um den ES File Explorer, der das SDK (Software Development Kit) von Baidu benutzt (welches *auch* im Baidu Browser benutzt wird), um bestimmte Verbindungen aufzubauen und Daten verschlüsselt *irgendwohin* zu senden. - Die Kommunikation ist bidirektional. - Rhetorische Frage: Was ist in dieser Kommunikation von ES File Explorer zu seinem "Headquarter/Control Server" enthalten? - Steuerbefehle, Malware, Daten-"Beute" (Accounts/Passwörter etc.)? - Wer der App Root-Rechte gibt, hat quasi ein Root-Kit am Laufen, das sich auch selbst verändern kann ... (nur so als paranoider Denkanstoß).

"Witzbold" war gestern. - Heute ist Sicherheitslücke ...

(Und die Google Apps sind selbst ein einziges "Root-Kit" - Deswegen nimmt man auch vllt. besser eine Custom ROM (AOSP, CM) und lässt Google und analoge Apps komplett draußen ...)

 

[j-m.s]

Nachdem dieser Bericht über Baidu so offensichtliche strunzdumme Hetze war, glaube ich dem Bericht überhaupt nichts.
Wenn hier User sagen, dass ES nach Hause telefoniert, dann kann das sicher sein. Das ist nicht schön, aber ich habe fast keine App und kein Win-Programm mehr, dass das nicht macht. Unter Windows sperre ich das mit der Software von : Sphinx Software
Ich werde es mal mit Sockstat checken.

 

[ooo]

Da du ja vom "Fach" zu sein scheinst und einen Pentesting-Sonntag verbringen möchtest:
SSL MITM Proxy
Decrypt SSL (trusted man-in-the-middle technique) - WebOS Internals
SSL - The Wireshark Wiki
Fiddler (software) - Wikipedia, the free encyclopedia

linux pentesting distro at DuckDuckGo

 

[mratix]

Ganz gleich, wer was wohin und wie sendet. Es ist sicherlich nicht der Wunsch eines Nutzers. Oben drauf absolut hinterpf*** so ausspioniert zu werden. Egal ob Standort, Kontakte oder nur Diskspace oder Batterielevel.
Ich finde es ist ein klarer Fall von Vertrauensbruch, Missbrauch.

Klar, Google ist das heftigste Root-Kit, ohne Wiederrede. Man hat es einem schön langsam injiziert und farbenfroh zum schlucken gegeben. Im Handumdrehen ist daraus ne Abhängigkeit geworden.

Keiner scheint dagegen groß anzutreten (z.B. genereller Boykott der Gapps und deren Dienste) wobei die App-Entwickler damit anfangen sollten.

Ohne Google und all den anderen geht es einfach nicht.
Da hätte man -40 Ziegelsteine, ne eigene Insel und soll sich damit ein Haus mit Garten bauen. Besuch sollte auch mal vorbeikommen. Geht irgendwie nicht.

 

[anonymousdark]

Klar, Google ist das heftigste Root-Kit, ohne Wiederrede. Man hat es einem schön langsam injiziert und farbenfroh zum schlucken gegeben. Im Handumdrehen ist daraus ne Abhängigkeit geworden.

Dieser Spruch geht runter wie ÖL...einfach geil, und wahr!

 

[Rak]

Witzbolde!
Das was Baidu macht ist genau das gleiche was Google auch macht!.

Echt? Google schickt meine Daten auch unverschlüsselt bzw. zu einfach verschlüsselt durch die Welt?

Kannst du das genauer erläutern?

 

[j-m.s]

Klar, Google ist das heftigste Root-Kit, ohne Wiederrede.
Keiner scheint dagegen groß anzutreten

Für mich ist das ein Deal. Ich habe sehr lange warten müssen auf das, was Google mir bietet.
Ich bin gerne bereit, dafür mit etwas zu bezahlen.
Ich weiss sehr wohl, dass sie meine Daten bekommen und mache auch nichts dagegen.
Ich müsste ja z.B. gar nicht den Google-Calendar verwenden oder Google-Kontakte.

 

[jet]

Der ES Datei Explorer wurde mir irgendwann hier empfohlen. Ich hab ihn gerne genutzt. Irgendwann kam aber eine neue Version und damit ein komplett anderes Aussehen, diverse "Systemoptimierungs-Funktionen" etc. Seitdem bin ich davon genervt, habe aber bisher noch nicht nach einer Alternative gesucht. Welcher Dateimanager ist denn zu empfehlen? Nach Möglichkeit auf Deutsch, kostenlos und ohne Werbung.

 

[vetzki]

Total Commander

 

[mratix]

Ja, Googles Produkte sind an sich sehr gut, nutzbar statt nur brauchbar. Ich hätte auch nichts dagegen dafür (mit Geld) zu bezahlen.
Diese kostenlose umsonst kostgarnix Vermarktung, die sich überall einpegelt, scheint mehr abzuwerfen bzw. einzunehmen.

Kommen wir wieder zum Topic, was habt ihr so als ES Explorer Alternativen?

 

[Oli_P]

Danke auch für den Hinweis. ES Datei Explorer hab ich lange Zeit genutzt, aber das neue Aussehen gefällt auch mir ganz und gar nicht. Ich will nen Datei-Explorer, nicht irgendeine aufgeblasene App mit irgendwelchen System-Optimierungsfunktionen. Das schlimme ist ja, daß man diesen Start-Bildschirm noch nicht mal ändern kann. Hab jetzt wieder den guten alten Total Commander. Mit LAN-Plugin hab ich auch genau dieselben Möglichkeiten, um an mein NAS zu kommen. Das ist das, was mir eigentlich am wichtigsten war. Deswegen hab ich auch lange Zeit ES genutzt, weil das so schön ging.

 

[anonymousdark]

@jet

Open File Manager
(File Explorer)
Amaze Auch in F-Driod

 

[jet]

Nach dem Tipp von vetzki habe ich ES Datei Explorer durch Total Commander ersetzt. Danke trotzdem!

 

[Miss Montage]

Danke für die Warnung! Ich habe den ES Dateimanager bisher gern genutzt und konnte die nervigen Zusatzfunktionen bislang gut deaktivieren/ignorieren, aber nach Hause telefonieren soll er nicht. Ich habe mir jetzt den Ghost Commander installiert, sieht aber gewöhnungsbedürftig aus.
Danke @anonymousdark für den Hinweis auf Amaze, der bringt alles mit, was ich brauche

 

[Luca77]

Ich habe nie verstanden, warum der Total Commander so wenig empfohlen wird. Er ist schon lange meine Nummer 1.