安卓用戶要小心！ UC瀏覽器可能會被用於下載惡意軟體

科技 03-29

更多全球網路安全資訊盡在E安全官網www.easyaq.com

小編來報：安卓用戶注意了，UC瀏覽器無需通過谷歌Play Store伺服器就可以下載額外的軟體庫，這意味著惡意代碼都有可能下載到安卓設備上！看看你的手機安裝它了嗎？

據外媒報道，俄羅斯安全公司Dr Web的研究人員稱，UC瀏覽器存在一個設計漏洞，攻擊者可以用互聯網上任意一台伺服器上的文件替換從該公司伺服器上下載的文件。

安全公司已經發出警告，UC瀏覽器無需通過谷歌的官方Play Store伺服器就可以下載額外的軟體庫。這違反了谷歌公司的規定，並構成了嚴重的威脅，它使得任何代碼，包括惡意代碼，都可以下載到安卓設備上。

安卓用戶要小心！ UC瀏覽器可能會被用於下載惡意軟體

打開今日頭條，查看更多圖片

UC 瀏覽器在印度擁有大量用戶，在Play Store上的下載量超過5億次，也可以通過第三方應用商店下載。

Web研究人員指出，目前UC瀏覽器代表著「潛在的威脅」，由於其設計漏洞，所有用戶都可能暴露在惡意軟體中。如果網路罪犯控制了瀏覽器的命令與控制伺服器，他們可以使用內置的更新功能發布可執行代碼。

此外，瀏覽器還可能遭受MITM（中間人）攻擊。MITM威脅的出現是因為UCWeb犯了一個安全錯誤，即通過不安全的HTTP連接向瀏覽器提交更新。

安卓用戶要小心！ UC瀏覽器可能會被用於下載惡意軟體

下載新的插件時，瀏覽器會向命令與控制伺服器發送一個請求，並接收到一個指向文件的鏈接作為響應。由於程序通過不安全的通道（HTTP協議而不是加密的HTTPS）與伺服器通信，網路罪犯可以從應用程序中鉤住請求，並用不同地址的命令替換這些命令。這使得瀏覽器不是從自己的命令和控制伺服器下載，而是從惡意伺服器下載新的模塊。

因為UC瀏覽器使用的是無簽名插件，所以它會在沒有任何驗證的情況下啟動惡意模塊。UCWeb的UC瀏覽器迷你版也可能會產生惡意更新，但不會遭遇MITM。UC瀏覽器迷你版已經在遊戲商店被下載了1億次。

據Dr Web稱，UCWeb的開發人員沒有重視Dr Web研究人員關於安全問題的通知，Dr Web也向谷歌報告了漏洞。然而，到目前為止，這些應用程序仍然可以在Play Store上使用。