MuMu Player (NetEase) di macOS menjalankan 17 perintah pengintaian sistem tanpa izin setiap 30 menit

• MuMu Player Pro untuk macOS secara otomatis mengumpulkan informasi sistem setiap 30 menit saat sedang berjalan, termasuk data jaringan, proses, aplikasi, dan kernel
• Item yang dikumpulkan mencakup daftar perangkat jaringan lokal, seluruh proses yang sedang berjalan, metadata aplikasi yang terpasang, file hosts, dan parameter kernel
• Informasi ini dikaitkan melalui nomor seri Mac dan platform analitik SensorsData untuk identifikasi perangkat
• Kebijakan privasi MuMu tidak mencantumkan praktik pengumpulan ini, dan hal tersebut tidak diperlukan untuk menjalankan fungsi emulator
• Pengumpulan data yang berulang dan tidak terbuka ini memunculkan kekhawatiran tentang kurangnya transparansi dan potensi risiko pelanggaran privasi

---

Perilaku pengumpulan data sistem

• MuMu Player Pro secara otomatis mengumpulkan informasi sistem setiap 30 menit saat berjalan di macOS
  • Pada setiap siklus pengumpulan, dibuat folder bertanda waktu di jalur ~/Library/Application Support/com.netease.mumu.nemux-global/logs/
  • Di setiap folder, hasil eksekusi 17 perintah disimpan
• Perintah yang dijalankan mencakup arp -a, ifconfig, netstat, ps aux, sysctl -a, launchctl print system, dan lainnya
  • Perangkat jaringan lokal (IP·MAC), koneksi jaringan aktif, semua proses yang berjalan beserta argumennya, daftar aplikasi terpasang dan metadatanya, serta informasi kernel dan perangkat keras dicatat
  • Hasil ps aux berukuran sekitar 200KB, dan mencakup informasi tentang aplikasi yang digunakan, VPN, alat pengembangan, dan perangkat lunak keamanan
• Setiap sesi pengumpulan menghasilkan sekitar 400KB data, dan dijalankan rata-rata 16 kali per hari

Isi data yang dikumpulkan

• Informasi terkait jaringan: arpAll.txt, ifconfig.txt, networkDNS.txt, networkProxy.txt, netstat.txt
• Informasi sistem dan aplikasi: listProcess.txt, listApplications.txt, mdlsApplications.txt, sysctl.txt, launchctlPrintSystem.txt
• Informasi konfigurasi lingkungan: file /etc/hosts, filesystem yang di-mount, daftar LaunchAgents/Daemons
• Hasil perintah curl untuk pengujian koneksi API MuMu juga disertakan
• Pada setiap sesi dibuat file collect-finished untuk mencatat apakah pengumpulan berhasil

Masalah pada pengumpulan daftar proses

• Dengan perintah ps aux, argumen baris perintah lengkap dari semua proses dikumpulkan
  • Aplikasi yang sedang berjalan, konfigurasi VPN, alat pengembangan, token sesi, jalur direktori pengguna, dan informasi perangkat lunak keamanan dapat terekspos
  • Karena diulang setiap 30 menit, terbentuk rekaman perilaku penggunaan berdasarkan rentang waktu

Analitik dan identifikasi perangkat

• MuMu menggunakan platform analitik SensorsData dari Tiongkok
  • Di direktori report/ terdapat file sensorsanalytics-com.sensorsdata.identities.plist
  • File ini memuat item $identity_mac_serial_id yang berisi nomor seri perangkat keras Mac
• sensorsanalytics-super_properties.plist menyimpan properti pemasaran seperti versi aplikasi, channel, UUID, dan sumber UTM
• Antrean pesan berukuran sekitar 86KB (sensorsanalytics-message-v2.plist) dikirim ke server

Ketidaksesuaian dengan kebijakan privasi

• Dalam kebijakan privasi resmi MuMu Player Pro, item berikut tidak disebutkan secara eksplisit
  • Eksekusi ps aux, arp -a, /etc/hosts, sysctl -a, mdls, dan lainnya
  • Pengumpulan nomor seri Mac
  • Tugas pengumpulan berulang setiap 30 menit
• Karena itu, perilaku aktualnya tidak sesuai dengan kebijakan yang dipublikasikan

Kesimpulan

• MuMu Player Pro secara berkala mengumpulkan informasi sistem pada tingkat yang tidak diperlukan untuk menjalankan fungsi emulator
• Data yang dikumpulkan membentuk profil sistem yang komprehensif, termasuk konfigurasi jaringan, daftar proses, aplikasi terpasang, pengaturan DNS, dan parameter kernel
• Dengan penggabungan analitik SensorsData dan nomor seri perangkat keras, terbentuk sidik jari perangkat (fingerprint) yang persisten dan rinci
• Praktik ini dilakukan secara tertutup dan berulang, sehingga setidaknya dinilai sebagai kasus serius kurangnya transparansi

[GN⁺]

Komentar Hacker News

• Melihat insiden seperti ini bikin khawatir soal penyebaran video game buatan Tiongkok di Barat
  Terlintas pikiran bahwa anak saya mungkin memainkan Genshin Impact atau Black Myth: Wukong sambil mengirim data jaringan lokal ke Tiongkok
  Jika pemerintah Barat merespons dengan benar, hal seperti ini seharusnya sudah dilarang sejak lama

  • Epic Games juga sebagian sahamnya dimiliki Tencent, dan launchernya pernah mengandung spyware
    Meski begitu, narasi bahwa “Tim Sweeney adalah pahlawan yang mematahkan monopoli Valve dan Apple” masih populer di media teknologi Barat
    Tautan terkait: diskusi Hacker News, tulisan analisis Reddit
  • Belakangan ini jadi lebih parah karena anti-cheat level kernel (KLAC)
    Sistem seperti ini adalah lingkungan impian bagi orang yang ingin menjelajahi jaringan internal atau meningkatkan hak akses
  • Delta Force yang baru juga dikembangkan di Tiongkok, dan katanya melakukan pemindaian seluruh hard disk untuk tujuan anti-cheat
  • Saya rasa tidak perlu terlalu bereaksi berlebihan terhadap pernyataan “game Tiongkok mencuri data”
    Saya memisahkan dengan VLAN, dan mengelola log firewall di router dengan sangat ketat
    Tentu saja, saya juga percaya semua ini ditangani dengan aman oleh router buatan Tiongkok saya
  • Karena itu saya memisahkan total PC kerja dan PC gaming
    Isolasi dengan VLAN atau Wi-Fi tamu memang tidak sempurna, tapi setidaknya bisa mengurangi risiko sekitar 75%
    Tetap saja masih ada mesin bertenaga tinggi yang terhubung ke internet, dan risiko seperti pelacakan lokasi via Bluetooth dan Wi-Fi tetap ada
    Pada akhirnya, menghentikan intrusi setingkat negara adalah pertarungan yang tidak sanggup ditanggung individu

• Saya selalu menjalankan perangkat lunak dari perusahaan Tiongkok hanya di dalam sandbox
  Di perangkat mobile saya memanfaatkan pembatasan izin Android/iOS, dan di desktop saya memakai VM
  Perusahaan teknologi besar di Tiongkok daratan nyaris tidak punya kepekaan terhadap privasi pengguna, dan model bisnisnya adalah meraup untung dengan menjual data

  • Baru-baru ini saya memasang aplikasi SoundCloud di iOS, dan kaget melihat tulisan “membagikan data dengan 954 mitra”
  • Banyak yang bertanya bagaimana menerapkan sandbox di mobile
    Setiap kali memasang aplikasi seperti WeChat, rasanya selalu tidak nyaman
  • Sekarang saya merasa semua aplikasi harus diisolasi
    Perusahaan mengumpulkan data tanpa pandang bulu, dan mengklaim aplikasi harus selalu terhubung ke internet agar bisa berfungsi
    Meski begitu, dengan firewall yang memblokir akses LAN, akses ke file tetap bisa dicegah
  • Ada yang bercanda bahwa bukan hanya “Tiongkok daratan”, “Amerika daratan” juga sama saja
  • Dengan menghapus kata “Mainland”, kalimatnya tetap benar, sebagai sindiran bahwa pada akhirnya semua big tech mirip saja

• Setiap kali perusahaan Tiongkok menimbulkan masalah, komentar selalu dipenuhi respons “perusahaan Amerika juga sama”
  Pola ini terlalu mudah ditebak

  • Perlu dipikirkan kenapa respons seperti itu terus muncul
  • Dalam praktiknya, itu juga memang benar

• Saya menjalankan perangkat lunak pendidikan dan klien VM jarak jauh dari VMware di dalam VM native Mac
  Kalau muncul kasus penyalahgunaan pengumpulan data dari negara lain, saya juga tidak akan terkejut
  Sebaiknya dilaporkan ke Apple Security agar bisa dievaluasi apakah ini termasuk serangan RCE atau C&C
  Semoga ini mendorong Apple untuk membatasi pengumpulan data seluruh sistem oleh Discord
  Sebagai catatan, UTM.app adalah pilihan yang cukup baik untuk mengisolasi Discord dengan memanfaatkan sandbox level OS

• Insiden seperti ini pada akhirnya memperkuat citra “perangkat lunak dan perangkat keras buatan Tiongkok = tanpa etika”
  Rasanya mereka akan memakai cara apa pun untuk mendapatkan informasi pengguna

• Situasinya terasa jelek
  Meski begitu, mereka memang menyatakan bahwa mereka mengumpulkan semuanya
  Itu bisa dilihat di kebijakan privasi MuMu Player
  Sedih rasanya melihat kenyataan dunia menjadi seperti ini

  • Ungkapan “informasi jaringan/teknis lainnya” terlalu luas, sehingga pada praktiknya bisa mencakup apa saja
  • Tapi tetap saja, tidak ada pernyataan eksplisit bahwa mereka mengumpulkan output ps aux

• macOS disebut berfokus pada privasi, tapi tetap mengejutkan bahwa perilaku seperti ini masih diizinkan
  Jika sandbox aplikasi bersifat opsional, itu jadi tidak berarti

  • macOS bukan berfokus pada privasi, melainkan berfokus pada pemasaran
    Prioritasnya adalah “apakah fitur ini bisa dipromosikan?”
  • Hampir tidak ada yang menyebut macOS sebagai OS yang berfokus pada privasi
    Kalau iOS mungkin iya, tapi macOS tidak

• Setiap kali memasang game mobile buatan NetEase, saya selalu merasa tidak nyaman
  Terutama saat memasang versi mobile Dead by Daylight
  Persona 5X memang bukan karya NetEase, tapi tetap terasa mengganggu
  Karena ini Android, saya berharap pengumpulannya lebih terbatas, tapi saya penasaran apakah ada cara isolasi penuh

  • Ada yang menyarankan mempertimbangkan OS berfokus pada keamanan seperti GrapheneOS atau Calyx
  • Ada juga pendapat untuk tidak terlalu khawatir dan cukup menikmati gamenya saja

• Menurut saya, orang yang membuat spyware seperti ini setidaknya harus dihukum penjara lebih dari 10 tahun
  CEO yang terlibat juga harus ikut bertanggung jawab

• Dulu semua orang memakai firewall pribadi seperti “Little Snitch” sehingga perilaku seperti ini bisa terlihat langsung
  Sekarang saya jadi bertanya-tanya apakah kita terlalu percaya buta pada fitur keamanan OS