俄羅斯資安業者:UC Browser可能暗藏中間人***能力

俄羅斯資安業者Dr. Web本週警告,他們發現了Android平臺上熱門的UC瀏覽器(UC Browser)能夠加載任意軟件模塊,而且是以未加密的HTTP協議與遠程服務器通訊,暗藏中間人***能力,且該程序在網絡大廠 Play上的安裝數量已經超過5億。UC瀏覽器爲中國優視科技所開發的瀏覽器產品,阿里巴巴在2014年收購了優視科技,並建立UC行動事業羣。UC行動事業羣除了持續開發基本的UC瀏覽器之外,還打造了專門下載影片的輕薄UC Browser mini,在網絡大廠 Play上亦有1億以上的安裝數量。
俄羅斯資安業者:UC Browser可能暗藏中間人***能力
Dr. Web指出,該公司偵測到UC瀏覽器具備了可繞過網絡大廠 Play服務器並下載輔助軟件的能力,而此一作法已違反網絡大廠的規定。根據網絡大廠 Play的開發者政策,藉由網絡大廠 Play散佈的應用程序不得透過該平臺更新機制以外的任何方法進行變更、替換或更新,也規定程序不得自網絡大廠 Play以外來源下載可執行的檔案。然而,Dr. Web卻發現UC瀏覽器從遠程服務器下載了可執行的Linux函式庫,雖然該函式庫是爲了支持Office及PDF文件,並無不良企圖,但這既是個可執行的檔案,也繞過了網絡大廠 Play的服務器,明顯違反網絡大廠準則,且此一更新功能從2016年起便已存在。內容來源:http://www.cafes.org.tw/info.asp
此外,UC瀏覽器與遠程服務器之間的通訊是採用未加密的HTTP協議,含有潛在的中間人***(man-in-the-middle attacks,MitM)威脅,允許***將流量導至惡意網站以下載惡意模塊,由於UC瀏覽器可執行未簽署的插件,代表該模塊不必經過驗證就能執行。Dr. Web認爲,就算優視沒有不良企圖,但這樣的作法是有風險的。沒有人能夠保證該機制不會遭到***開採,利用惡意模塊指使瀏覽器顯示網釣訊息,以竊取用戶的各種憑證,或是植入***程序來存取用戶的機密數據。而另一款UC Browser mini同樣也具備下載模塊組件的能力,只是它並不存在中間人***的威脅。Dr. Web已經知會優視與網絡大廠,但並未獲得這兩家業者的響應,目前這兩個程序仍然安好地處於Play上。
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章