Et softwareudviklingssæt, der er oprettet af det kinesiske internet serviceselskab Baidu, og som bruges af tusindvis af Android-applikationer, indeholder en funktion, der giver angriberne bagdørlignende adgang til brugerens enheder.

Virksomheden anslår, at de berørte apps bruges af over 100 millioner brugere.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Ifølge Trend Micros analyse er Moplus SDK ope ns en HTTP-server på enheder, hvor berørte apps er installeret serveren bruger ikke autentificering og accepterer anmodninger fra nogen på internettet.

Endnu værre ved at sende anmodninger til denne skjulte HTTP-server, kan angriberne udføre foruddefinerede kommandoer, der blev implementeret i SDK. Disse kan bruges til at udtrække følsomme oplysninger som lokaliseringsdata og søgeforespørgsler, samt tilføje nye kontakter, uploade filer, foretage telefonopkald, vise falske meddelelser og installere apps.

På enheder, der er blevet rodnet, tillader SDK den tavse installation af applikationer, hvilket betyder, at brugerne ikke bliver bedt om bekræftelse. Faktisk har Trend Micro forskerne allerede fundet en orm i det vilde, der udnytter denne bagdør for at installere uønskede applikationer. Malware opdages som ANDROIDOS_WORMHOLE.HRXA.

Trend Micro-forskerne mener, at Moplus-fejlen på mange måder er værre end en, der blev fundet tidligere i år i Android Stagefright-biblioteket, fordi i det mindste den ene krævede, at angribere sendte ondsindede multimediebeskeder til brugerens telefonnumre eller for at narre dem til at åbne ondsindede webadresser.

For at udnytte Moplus-problemet kan angriberne blot scanne hele mobilnetværk til Internet Protocol-adresser, der har de specifikke Moplus HTTP-serverporte åbnet, siger forskerne.

Trend Micro har meddelt Baidu og Google om sikkerhedsproblemet.

Baidu har udgivet en ny version af SDK'en, hvor den fjernede nogle kommandoer, men HTTP-serveren åbnes stadig, og nogle funktioner kan stadig misbruges, Trend Micro sagde forskere.

Baidu fastsatte alle de sikkerhedsspørgsmål, der blev anmeldt til virksomheden senest den 30. oktober, sagde en Baidu-repræsentant via e-mail. "Den resterende kode, der blev identificeret i den seneste [Trend Micro] post som potentielt problematisk efter vores løsning er faktisk død kode, uden nogen virkning."

Der er ingen "bagdøre", sagde repræsentanten og tilføjede, at Inaktiv kode fjernes i den næste version af virksomhedens apps for "klarhedens skyld". Men spørgsmålet er fortsat, hvor hurtigt alle tredjepartsudviklere, der brugte dette SDK, opdaterer deres apps med den nyeste version. Trend Micros liste over de 20 mest berørte applikationer omfatter apps fra andre udviklere end Baidu, og nogle af dem er stadig i Google Play.