安卓用户要小心!UC浏览器可能会被用于下载恶意软件

aquila00

更多全球网络安全资讯尽在E安全官网www.easyaq.com

# l2 O. o- m) a: @[size=1em]

7 g8 G. N: B. E% |5 z% x  N
[size=1em]小编来报：安卓用户留意了，UC欣赏器无需通过谷歌Play Store服务器就可以下载额外的软件库，这意味着恶意代码都有可能下载到安卓设备上！看看你的手机安装它了吗？
; b7 [8 s/ j& P  |* y. O
0 Y5 x/ z: i! {; ~  M( ^
1 B$ _/ V% \) J$ p/ T5 d据外媒报道，俄罗斯安全公司Dr Web的研究人员称，UC欣赏器存在一个设计毛病，攻击者可以用互联网上任意一台服务器上的文件替换从该公司服务器上下载的文件。

安全公司已经发出警告，UC欣赏器无需通过谷歌的官方Play Store服务器就可以下载额外的软件库。这违反了谷歌公司的规定，并构成了严重的威胁，它使得任何代码，包括恶意代码，都可以下载到安卓设备上。
' |* I7 l- H$ k9 R- m! z* `

# |" V$ Q$ T0 o% w
UC 欣赏器在印度拥有大量用户，在Play Store上的下载量超过5亿次，也可以通过第三方应用市肆下载。


Web研究人员指出，目前UC欣赏器代表着“潜在的威胁”，由于其设计毛病，所有效户都可能暴露在恶意软件中。如果网络罪犯控制了欣赏器的命令与控制服务器，他们可以利用内置的更新功能发布可执行代码。

此外，欣赏器还可能遭受MITM（中间人）攻击。MITM威胁的出现是因为UCWeb犯了一个安全错误，即通过不安全的HTTP连接向欣赏器提交更新。
) {5 h# j  |* P6 ^

下载新的插件时，欣赏器会向命令与控制服务器发送一个请求，并接收到一个指向文件的链接作为响应。由于程序通过不安全的通道（HTTP协议而不是加密的HTTPS）与服务器通信，网络罪犯可以从应用程序中钩住请求，并用差别地址的命令替换这些命令。这使得欣赏器不是从自己的命令和控制服务器下载，而是从恶意服务器下载新的模块。


5 ?. p; c  V/ j因为UC欣赏器利用的是无签名插件，所以它会在没有任何验证的情况下启动恶意模块。UCWeb的UC欣赏器迷你版也可能会产生恶意更新，但不会遭遇MITM。UC欣赏器迷你版已经在游戏市肆被下载了1亿次。

据Dr Web称，UCWeb的开发人员没有重视Dr Web研究人员关于安全问题的通知，Dr Web也向谷歌报告了毛病。然而，到目前为止，这些应用程序仍然可以在Play Store上利用。


! S7 X9 \" E7 I. q$ y

注：本文由E安全编译报道,转载请注明原文地址
8 U1 L) \; _7 d( c
https://www.easyaq.com

推荐阅读：
8 H, @/ m5 |( h
( K: P! z# n6 C7 h, Q8 v

1 m. N& n7 e4 ^8 B( l
• [size=1em]“四大”暗网交易市场主宰的时代结束，Dream Market即将关闭
  
• [size=1em]威胁预警丨华硕软件供应链攻击调查
  0 _; q& V  r: ]6 V8 ]
• [size=1em]铝业公司Norsk Hydro在网络攻击中的初步损失超4000万美元
  1 H2 t, C! c. T" x
• C语言居然占据最不安全语言榜首！哪种语言最安全？
  
• [size=1em]攻击最大铝业供应商的勒索病毒存在毛病，学会利用它！
  
• 供应链攻击｜ASUS Live Update感染后门，影响100多万用户
  

▼点击“阅读原文” 查看更多精彩内容
4 k" \4 Q8 ~! Y# U
% q2 G3 B8 t3 \" W, M" j& I% B
喜欢记得打赏小E哦！
/ Q' q- P/ l1 i! y& O

* W) R. F, P' k  N) I& ?7 N5 ?7 m, t
0 O  T( N3 w; h$ A5 a

来源：http://mp.weixin.qq.com/s?src=11&timestamp=1553877006&ver=1514&signature=JWcRofOuAgIdmc7IE2X1ME2v1XCOStGV44EayQjbfjzSRQolTjzgD2UU4xpfyKx-rotrtlYsyn29nGvVNrMoNWIoga2iccW3bIbMJpoUOE*vr5Vk9NpjcXMROjOYfLQq&new=1
' T) U( k' V/ X# R. k免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！