首发于NOSEC
国外曝出UC浏览器存在“非法”功能,易使手机被劫持

国外曝出UC浏览器存在“非法”功能,易使手机被劫持

Doctor Web的恶意软件分析人员近期检测到流行的UC浏览器中存在某种“隐藏”功能,可往手机上下载和运行恶意代码。该浏览器能够直接下载“辅助软件”模块,绕过Google Play服务。而这违反了谷歌公司的规定,造成严重的安全威胁,任何未经检查的可疑代码都能被下载到Android设备上。
截至目前,已有5亿多Google Play用户下载了UC浏览器。从互联网下载辅助模块原本是用于软件更新,但从安全方面来说有不小隐患。


例如,在Doctor Web的分析过程中,UC浏览器从远程服务器下载了一个可执行的Linux库文件。该文件不是恶意的,其主要作用是处理MS Office文档和PDF文件。下载后,UC浏览器将库文件保存到其目录下并执行它。但是,此过程违反了谷歌在其应用商店中发布的app规定,即从Google Play下载的app不能随意更改自己的代码或从第三方下载任何辅助组件。这主要是为了防止某些隐藏的很深的木马进行大规模传播模。例如Doctor Web在2018年1月和4月报告的android.remotecode.127.originandroid.remotecode.152.origin

自从2016年以来,UC浏览器就存在这个不安全的更新功能。虽然目前还没出恶意软件传播的迹象,但不可能永远确保攻击者不会染指浏览器开发者的服务器。

而且,UC浏览器的这个功能还可用作中间人攻击(MITM)。当需要下载新的插件时,浏览器会向某台服务器发出请求,并接收到某个文件的链接,然后下载运行文件。由于浏览器通过不安全的信道(使用了HTTP协议而不是加密的HTTPS)与服务器通信,因此网络攻击者可以拦截服务器的回应。使用恶意软件地址进行替换,这使得浏览器直接在后台下载恶意软件。而且由于UC浏览器会使用未签名的插件,因此它将在不进行任何验证的情况下启动恶意软件。
Doctor Web还模拟了一个攻击的情景。视频显示某个受害者通过UC浏览器下载了一个PDF文档并试图查看它。而为了要打开PDF文件,浏览器会尝试从某台服务器下载阅读的插件。但是,由于遭受了MITM攻击,浏览器会下载并启动另一个恶意模块。然后受害者就会看到手机上显示着“pwned!“。
因此,这种MITM攻击可以帮助网络攻击者通过UC浏览器传播各种恶意插件,从窃取文件到完全控制手机,无所不能。
演示地址:youtu.be/Nfns7uH03J8


UC浏览器的迷你版也同样存在这个问题。至少从2017年12月起迷你版就拥有了这个不安全的功能。到目前为止,超过100000000名Google Play用户下载了这个app。值得说明的是,上述MITM攻击无法在这个迷你版上生效。

安全专家立马联系了这两种浏览器的开发人员,但他们拒绝对此发表评论。随后,我们也立马向谷歌报告了这一情况。

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场

来源:国外曝出UC浏览器存在“非法”功能,易使手机被劫持|NOSEC安全讯息平台 - NOSEC.ORG

原文:news.drweb.com/show/?

白帽汇从事信息安全,专注于安全大数据、企业威胁情报。

公司产品:FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供:网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。

发布于 2019-03-27

文章被以下专栏收录