各位的拼多多有没有无法卸载呀😅

[Joshuahui]

https://archive.ph/lV1NX

我妈手机上的拼多多会在未被授予权限的情况下用小部件替换桌面图标，使自己导致无法卸载。手机是荣耀 9X ，事是去年发生的，桌面上还经常出现拼多多的小部件，而且拼多多在未被点开的情况下还能突然在前台打开一个跟微信色调很像的界面，点击会跳转拼多多，同样没有悬浮窗权限。

[kylelau]

正好今天看到一篇文章

研究机构发文披露某国产 APP 恶意利用漏洞，非法提权获取用户隐私及远程遥控

注：据信该 APP 指的是“拼多多”

微信公众号「 DarkNavy 」发文，称某互联网厂商 App 利用 Android 系统漏洞提升权限，进而获取用户隐私及阻止自身被卸载。

该互联网厂商在自家看似无害的 App 里，使用的第一个黑客技术手段，是利用一个近年来看似默默无闻、但实际攻击效果非常好的 Bundle 风水 - Android Parcel 序列化与反序列化不匹配系列漏洞，实现 0day/Nday 攻击，从而绕过系统校验，获取系统级 StartAnyWhere 能力。

提权控制手机系统之后，该 App 即开启了一系列的违规操作，绕过隐私合规监管，大肆收集用户的隐私信息（包括社交媒体账户资料、位置信息、Wi-Fi 信息、基站信息甚至路由器信息等）

之后，该 App 进一步使用的另一个黑客技术手段，是利用手机厂商 OEM 代码中导出的 root-path FileContentProvider ， 进行 System App 和敏感系统应用文件读写；

进而突破沙箱机制、绕开权限系统改写系统关键配置文件为自身保活，修改用户桌面(Launcher)配置隐藏自身或欺骗用户实现防卸载；

随后，还进一步通过覆盖动态代码文件的方式劫持其他应用注入后门执行代码，进行更加隐蔽的长期驻留；

甚至还实现了和间谍软件一样的遥控机制，通过远端“云控开关”控制非法行为的启动与暂停，来躲避检测。

来源 https://mp.weixin.qq.com/s/P_EYQxOEupqdU0BJMRqWsw

[lostberryzz]

设置-软件管理里面也无法卸载吗

[buttenkill]

确实流氓，我只能从设置里删除，然后一直用网页版

[selca]

或许不允许侧载，确实能更大程度去保护用户

利益相关：长期安卓用户，偏向支持侧载

[Leexiaobu]

@kylelau #1 tg 源文章把 注：据信该 APP 指的是“拼多多” 这句话删了,现在有可靠来源说是拼多多嘛?

[kylelau]

@Leexiaobu 没有，我看到的只有发出来的这些内容

[hellodigua]

桌面上的那个图标以及对应的卸载其实是拼多多自己模拟的，要真正卸载的话，需要去系统设置里面，目前就发现华为手机会出现这种问题

[Kiriya]

设置-应用管理-pdd-卸载
不只是华为，OPPO meizu 也存在一样的问题，毕竟这个 APP 太流氓了，家里老人的手机关闭未知来源也能通过误触广告通过应用商城装上

[mxT52CRuqR6o5]

https://v2ex.com/t/920460
直接用黑客技术实现的，像华为这种落后安卓大版本的已经风险更高

[f1ush]

@Leexiaobu 反正我朋友圈的大佬们都说是 pdd 了

[Bootis]

我记得前几年有逆向工程进去坐牢的，这次估计可以看到 China 的又一次选择性执法了。

[cdoe]

我 adb 连上手机发现半个月都没点进去的拼多多正在运行中

[ysc3839]

小部件那个好像是鸿蒙经典漏洞了，网上很多说这问题的，不知道修没修，但个人认为是没修

[Joshuahui]

@kylelau 就是看到这个才说的😂

[Joshuahui]

@lostberryzz 软件管理可以卸载

[Joshuahui]

@hellodigua 酷安评论区说 OPPO 也会有这个问题

[systemcall]

不知道最新的安卓 13 有没有，国产手机的安卓版本本来就老，再加上很多设备根本不会升级任何安全更新，出现什么漏洞都不稀奇，主要是没法改写 bootloader ，对用户自己来说没什么用

[Joshuahui]

@ysc3839 荣耀 9X 不是鸿蒙，还是定制版 Android

[Joshuahui]

那要这么看国产系统还是依托答辩呀，原生系统里面添加小部件是需要用户拖动的😂

[v2eb]

美团也会控制桌面小部件, 还搞成透明的🌝。 不过最近没给我整了

[beixiao]

之前就实锤是拼多多了，vivo y 系列卸载不了 pdd ，原因就是把系统桌面的卸载按钮改成了自己的，所以卸载了但是又没卸载😅

[PrinceofInj]

miui ，正常卸载。昨天看完后就直接卸载了。反正基本上一年也打不开几次，除了薅。羊毛的时候，估计我这种负价值用户他们也看不上吧。话说这种行为工信部不应该.处.理一下么？

[luzonglinnnn]

用的 play 版本，可以卸载

[swcat]

倒是验证下啊, 我找了 3 台 3 个品牌的手机验证,
miui14 正常卸载
oppo 正常卸载
vivo 正常卸载

miui 和 oppo 是 pdd 已经在手机上了, vivo 是立马在商店下载

倒是给个你复现的视频, 不要在这里神秘的传, 又不是宗教

[maggch97]

@swcat 你要验证至少搞一个同型号的?

[Biluesgakki]

@Leexiaobu 有人解包结果 https://s2.xptou.com/2023/03/02/6400c6c1d7982.png

[hsiaochi]

太亏贼了 鸿蒙和拼多多两个卧龙凤雏在一起产生的化学反应

[zhongjun96]

@swcat #24
随便找了几个视频
这两个视频是利用了 shortcuts 做了一个假卸载入口，但是真的卸载入口也存在
https://www.bilibili.com/video/BV1L3411775w
https://www.bilibili.com/video/BV1ja411t78L



这两个视频就假卸载和真卸载入口都没有
https://www.bilibili.com/video/BV1vT411A77P
https://www.bilibili.com/video/BV1N94y1D7dm

[swcat]

@maggch97 不用了, 有大哥给了
@zhongjun96 PDD 真苟啊, 看来我还是低估了他的不要脸

[raymanr]

根本就不会去装拼多多, 为了便宜几块几十块去成为拼多多用户等于变相支持拼多多的各种垃圾营销, 在我看来不值得.

[bk201]

这种涉及违法了吧，不怕被告吗

[aqtata]

@bk201 这里是 China

[TArysiyehua]

@aqtata 互联网都被锤了一遍了，还差你拼多多？直接去工信部举报，锤子砸一下你看疼不疼

[dbskcnc]

可惜国内没有集体诉讼，否则 pdd 需要吃一壶
工信部不处理就是不作为
友商应该大力营销此事啊，能让 pdd 这么好过？

[mxT52CRuqR6o5]

这个属于是很恶劣的事件了，但基本看不到什么热度

[mxT52CRuqR6o5]

@swcat
有可能商店版本是正常的，非商店版本才会有问题（就像互联网公司同一个包名的 app ，google play 版本更干净）（拼多多在 google play 也有上架，play 版本我想他们没那么大胆子加入黑客攻击代码吧）。
而且是有遥控机制的，有远端“云控开关”控制非法行为的启动与暂停，不是说你装了就一定能复现

[yanlaz]

小米没看见过这个

[pengtdyd]

还是那句话，国产软件能不用就别用，这方面的教训太深刻了。

[yanlaz]

我两个号双开了拼多多，多多买菜东西是真便宜

[meetyuan]

下载个 jadx,下载最新的拼多多 apk,导入文件就知道了，论坛人应该都有这样的水平吧：
package com.xunmeng.pinduoduo.alive.strategy.interfaces.adapter.intf;
/* loaded from: classes2.dex */
public interface IRemoteConfig {
boolean getBoolean(String str, boolean z);

String getConfigValue(String str, String str2);

long getCurrentVersion();

double getDouble(String str, double d);

String getExpValue(String str, String str2);

float getFloat(String str, float f);

int getInt(String str, int i);

long getLong(String str, long j);

<T> T getValueFromJson(String str, Class<T> cls);

boolean isUpdateToDate();

void registerKeyChangeListener(String str, boolean z, ConfigChangeListener configChangeListener);

void unregisterKeyChangeListener(String str, ConfigChangeListener configChangeListener);
}

[flyqie]

@swcat #29

能分享下具体应用信息吗？

我这看了好多版本，都没有发现文章中说的内容。。。

而且之前测试也是可以卸载的，非常奇怪。

[flyqie]

@meetyuan #40

从这块能确认是拼多多 App 不假。

但是好像找不到文章中所说的内容，挺奇怪。。。

拼多多到底是哪个分发渠道加了这个料，看了好几个不同渠道不同版本的 apk 都没找到。。

[mxT52CRuqR6o5]

@flyqie
https://v2ex.com/t/920460
是有遥控机制的，有远端“云控开关”控制非法行为的启动与暂停，不是说你装了就一定能复现
而且我猜测商店版本可能复现不了，可能得去下那种推广渠道的版本才会有黑客代码

[duoduoeeee]

@kylelau https://v2ex.com/t/920615

有 v 站用户反编译了

[flyqie]

@mxT52CRuqR6o5 #43

云控这个事情是知道的，但关键是我自己用 jadx 反编译了好几个不同渠道不同版本的 apk ，都没有发现文章中说的内容。

很好奇拼多多到底哪个渠道哪个版本的加了料，大致影响了多少人，家里长辈有没有中招。

[mxT52CRuqR6o5]

每有一个用户通过推广渠道安装 app 后，app 公司就得向推广渠道付钱
app 公司为了付了的钱不白花（用户安装 2 分钟就给你卸载了），就在推广渠道安装的 app 版本加入黑客代码防止用户卸载，这应该是很有可能的吧
商店渠道的版本反而可能确实不会有问题

[mxT52CRuqR6o5]

@flyqie 现在冬窗事发后，很难想象 app 公司会什么都不做坐以待毙。大概率会连夜加班把黑客代码删掉把所有渠道都更新成干净版本
你现在去下 app 发现是干净版本说明不了任何问题，得去确实碰到无法卸载 app 的用户手机上去提取 app 才行

[proxytoworld]

@flyqie 三星的分发

[flyqie]

@mxT52CRuqR6o5 #47

那肯定的，拼多多我是没好印象的，他家毫无底线的套路我深有体会。。。。

主要是好奇，拼多多到底往哪些渠道扔了多少见不得人的包，这些包影响了多少人。

这玩意云控的，鬼知道他会不会哪天整点什么别的花活，劝不住家里长辈啊。。。

[justincnn]

ios 用户暂时不会有这方面的问题，给老人家用，建议还是 ios 吧，方便，省心，
不像有些不知道什么渠道下下来的 app ，这种套路

[ZoeeoZ]

我的魅族没这个问题

[edward1987]

我的 oppo 确实没有卸载按钮。。
用 pdd 主要是因为淘宝做的太垃圾了，用户体验是真的差

[vanton]

自从老爸让我帮他看下他的华为手机为啥越来越慢，我打开一看一堆开屏、一堆全家桶，这之后我家几个老人我帮他们全部换成苹果设备了，很省心，基本没啥事。

[flyqie]

@edward1987 #52

老哥方便给个样本吗，想瞅瞅。

话说老哥还能想起来在哪下的吗。。。是拼多多好友推广链接吗？

[smartruid]

@dbskcnc #34 大胆猜测一下，友商说不定也在干类似的事情

[swcat]

@flyqie 我没样本, 我就是没测试到, 我的是从小米应用商店下载的, 我测的同事的都是从应用商店下载的
这个猜测是看人下菜

[xuelu520]

miui14 正常卸载

[xuelu520]

怀疑是不正规渠道下载的 APP ，被人下料了。正常渠道应该都是可以下载的。
但是不正规渠道下料，这没必要好爆出来吧

[mxT52CRuqR6o5]

@xuelu520 看看应用签名就知道到底是官方下料还是私厨下料了，这个料技术含量挺高的，私厨真有这本事吗

[yy306525121]

真是骚操作啊

[cyningxu]

设置->软件管理 里找到 pdd ，点击删除

[hellomynameis]

所以根据对上述回复的观察。国内垃圾软件，同一个软件不同渠道除了 arm32/64 和 MinAPI23 还是 28 的区别，还有有 /无 rootkit 的区别?! 比如从手机的应用 /play 商店下载就是一个正规的软件，但是从砍一刀页面直接下载的 apk 就是一个带 rootkit 的软件。。

[noahhhh]

@selca 这是 OEM 端的漏洞，AOSP 没有这个毛病…

[mxT52CRuqR6o5]

@hellomynameis
我是不符责任瞎猜的，不一定是事实，主要是因为那个 app 有上架 google play ，我真的不太敢信 google play 上都敢上架有黑客代码的 app 。当然如果他一视同仁不双标往所有分发渠道都投毒，那我敬他是条汉子

[briske]

反正过年回去，发现父母的手机卡得不行，一看安装了超级多 app ，一问就是各种诱导或者其他方式给你安装的。后面全部删除，手机瞬间流畅。但是这不是长久之计，给长辈换手机得考虑水果机了

[mxT52CRuqR6o5]

@xuelu520 按照道理来说，像这种常见的 APP ，如果安装的包不是官方签名，国产安卓应该都能直接警告的，会很难安上去

[edward1987]

@flyqie 就是 oppo 应用商城自己搜索下载的。 长按图标的时候，没有那个卸载按钮。

@mxT52CRuqR6o5 我特地卸载从 google play 上重新下载，也是一样的没有卸载按钮

[zliea]

@edward1987 在你安装的时候系统就已经帮你换成应用商城版本了，我现在的测试版经常就会被系统贴心的换成正式版本

[1661890877]

@flyqie 那些漏洞利用的代码是云控热加载的，你去反编译 APK 肯定找不到的

[efaun]

三桑没问题, 自带商店下载的

[flyqie]

@1661890877 #69

之前以为云端只传是否启用的配置参数。。

听你这么一说，他还真可能全套都做在了云端。

大意了。

[systemcall]

很多东西都是热更的，指不定哪次启动之后热更上去的。国产 App 绝大部分都会热更很多东西，甚至是关键的业务逻辑
热更可以做加法，当然也可以做减法。估计这几天都热更过了、把相关的模块给删除了。你又没有 HIPS ，甚至连一点记录都不会有

[xxzlll]

如果是厂商内置的，那是卸载不掉滴，只要重启手机，就会重新安装，得 root 了以后删除

[meiying65535]

@lostberryzz 我直接用这个卸载
https://github.com/MuntashirAkon/AppManager

[L0lita]

到底是不是拼多多 我拼多多直接就卸载了 并没有出现文中说的拿替身挡卸载的情况 谁录个不能卸载的视频看看

[WindProtect]

@L0lita 好像是那些小广告渠道下载的版本和特定手机才会。

[Damow]

我去年给我爸妈换了老年机。max 版 iPhone 。

[Damow]

@briske 大号老年机。max 版 iPhone 。省心

[Joshuahui]

@L0lita 哔哩哔哩搜索“卸载拼多多”😆

[dt1]

IOS 还得比较新的版本，较旧的版本，也有漏洞被利用，被强制安装 app 。

[yougo]

这公司到底花了多少钱买灰产技术，又花了多少钱打点关系，或者它本身就是灰产一员，昨天还看到就喜欢拼多多野路子的帖子😅，请加大力度

[yougo]

贴一下拼多多的上一个技术成就： https://www.v2ex.com/t/887582

[edward1987]

@zliea 这么离谱。。

[liudong7351]

下载了拼多多的 App ，按照 DarkNavy 的文章查找了反编译后的拼多多代码，确认发现了相关黑客代码。这个黑科技取名 lucifer ，真的是名副其实。。。。。
App 版本是 2022.10 月份的一个版本，找到了如下截图：
https://pic.peo.pw/a/2023/03/06/64055bca6fb08.png
https://pic.peo.pw/a/2023/03/06/64055bcaecbb3.png
然后下载了拼多多最新版，发现相关代码所在的包（ lucifer ）已经没了。。。。

[dot]

之前遇到过某个手机 PDD 会在没有通知权限和弹窗权限的情况下，出现置顶的弹窗广告……
忘了是华为还是 IQOO 了……

[mxT52CRuqR6o5]

@liudong7351 能不能辛苦看看 google play 渠道有没有加入黑客代码，如果加了的话可以去 google 举报一波把应用下架

[mxT52CRuqR6o5]

@liudong7351 最好能找个保险的地方把这个有问题的 apk 保存起来，永久保留这家公司的罪证

[liudong7351]

@mxT52CRuqR6o5 哈哈 保留了

[mxT52CRuqR6o5]

兄弟们，我先一步去给境外势力递刀子去了
https://support.google.com/googleplay/android-developer/contact/takedown

[youmilk]

来了，实锤！ https://github.com/davinci1010/pinduoduo_backdoor

[fox0001]

拼多多一直只用微信小程序…