安卓用户要小心!UC浏览器可能会被用于下载恶意软件

璀璨星辰

更多全球网络安全资讯尽在E安全官网www.easyaq.com

' N) _* v- j' X, F5 [2 r[size=1em]


[size=1em]小编来报：安卓用户注意了，UC浏览器无需通过谷歌Play Store服务器就可以下载额外的软件库，这意味着恶意代码都有可能下载到安卓设备上！看看你的手机安装它了吗？


! |4 e  ]% w- r: `据外媒报道，俄罗斯安全公司Dr Web的研究人员称，UC浏览器存在一个设计漏洞，攻击者可以用互联网上任意一台服务器上的文件替换从该公司服务器上下载的文件。
 
安全公司已经发出警告，UC浏览器无需通过谷歌的官方Play Store服务器就可以下载额外的软件库。这违反了谷歌公司的规定，并构成了严重的威胁，它使得任何代码，包括恶意代码，都可以下载到安卓设备上。
 
3 r+ P. r' _* H6 R8 F, \

9 z! z. Z3 ?: U: _& y

UC 浏览器在印度拥有大量用户，在Play Store上的下载量超过5亿次，也可以通过第三方应用商店下载。
  b- d( J: c" B" m
. L# b5 A1 B2 X/ c 
Web研究人员指出，目前UC浏览器代表着“潜在的威胁”，由于其设计漏洞，所有用户都可能暴露在恶意软件中。如果网络罪犯控制了浏览器的命令与控制服务器，他们可以使用内置的更新功能发布可执行代码。
 
5 i# w5 W& ]  r  |此外，浏览器还可能遭受MITM（中间人）攻击。MITM威胁的出现是因为UCWeb犯了一个安全错误，即通过不安全的HTTP连接向浏览器提交更新。
 

, c' W  j# C8 s! M& f8 q2 q5 t# v
6 Z) r8 T  }4 R: H4 @7 E  K) o下载新的插件时，浏览器会向命令与控制服务器发送一个请求，并接收到一个指向文件的链接作为响应。由于程序通过不安全的通道（HTTP协议而不是加密的HTTPS）与服务器通信，网络罪犯可以从应用程序中钩住请求，并用不同地址的命令替换这些命令。这使得浏览器不是从自己的命令和控制服务器下载，而是从恶意服务器下载新的模块。

% v- u( S0 ^: }! d# K 
因为UC浏览器使用的是无签名插件，所以它会在没有任何验证的情况下启动恶意模块。UCWeb的UC浏览器迷你版也可能会产生恶意更新，但不会遭遇MITM。UC浏览器迷你版已经在游戏商店被下载了1亿次。
1 ]0 u7 U. N  u 
据Dr Web称，UCWeb的开发人员没有重视Dr Web研究人员关于安全问题的通知，Dr Web也向谷歌报告了漏洞。然而，到目前为止，这些应用程序仍然可以在Play Store上使用。

8 d. z! u' K$ `0 r1 E
9 y7 a) y+ y, n* @7 G

注：本文由E安全编译报道,转载请注明原文地址

" U3 d# O. _1 L  W6 {https://www.easyaq.com

推荐阅读：
) W. h3 v5 _3 K2 `/ A6 L3 T5 t

• [size=1em]“四大”暗网交易市场主宰的时代结束，Dream Market即将关闭
  
• [size=1em]威胁预警丨华硕软件供应链攻击调查
  
• [size=1em]铝业公司Norsk Hydro在网络攻击中的初步损失超4000万美元
  . R( C( k5 w# {: |
• C语言居然占据最不安全语言榜首！哪种语言最安全？
  
• [size=1em]攻击最大铝业供应商的勒索病毒存在漏洞，学会利用它！
  
• 供应链攻击｜ASUS Live Update感染后门，影响100多万用户
  ( Z5 p( G. l, E/ l7 W7 ^8 q

. D: Y: L% h9 @' S" k# ?
+ G9 K. M# |! l7 a
5 c  S) `) b  B9 X. Q2 R▼点击“阅读原文” 查看更多精彩内容


& D9 d; h7 s& f5 l0 l喜欢记得打赏小E哦！
0 C' q* R1 r# s

, O5 x' i: x& `


来源：http://mp.weixin.qq.com/s?src=11&timestamp=1553877006&ver=1514&signature=JWcRofOuAgIdmc7IE2X1ME2v1XCOStGV44EayQjbfjzSRQolTjzgD2UU4xpfyKx-rotrtlYsyn29nGvVNrMoNWIoga2iccW3bIbMJpoUOE*vr5Vk9NpjcXMROjOYfLQq&new=1
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！