Рекламный комплект разработки программного обеспечения (SDK): не только показ рекламы в приложениях и регистрация конфиденциальных данных. [Исследование в субботу]

24 августа 2020 года компания Snyk объявила о обнаружении подозрительных поведений в версии iOS популярного рекламного SDK под названием Mintegral. Было обнаружено, что Mintegral использует кодовую обфускацию и метод swizzling для изменения функциональности базовых методов SDK iOS без ведома владельца приложения. Кроме того, Mintegral записывал все HTTP-запросы, включая заголовки, которые могли содержать токены авторизации или другие чувствительные данные. После первоначального раскрытия Mintegral объявила, что открывает исходный код своего SDK для рынка. Крупный издатель игр поделился исходным кодом с Snyk для дальнейшего анализа, что привело к значительным открытиям. Snyk также продолжила свои исследования, углубляясь в версии SDK для Android, где изначально не были обнаружены подобные поведения. Это исследование привело к дополнительным открытиям, которые потребовали обновления предыдущего раскрытия. Mintegral и общество в целом отреагировали на ситуацию, и Snyk подытожила события, чтобы завершить свои исследования этого SDK. Оригинальный блог и обновление Snyk можно найти на их сайте.