UC Browser có “tính năng” không an toàn cho phép tấn công điện thoại Android từ xa

[WhiteHat News #ID:2112]

Nếu đang sử dụng UC Browser trên điện thoại, bạn nên xem xét gỡ bỏ trình duyệt này ngay lập tức.

Tại sao? Vì UC Browser, do Trung Quốc sản xuất, có chứa một tính năng “đáng nghi” có thể bị khai thác từ xa để tự động tải xuống và thực thi mã trên thiết bị Android.

Được phát triển bởi UCWeb, UC Browser là một trình duyệt di động phổ biến, đặc biệt ở Trung Quốc và Ấn Độ, với hơn 500 triệu người dùng trên toàn thế giới.

Theo Dr. Web, ít nhất từ năm 2016, UC Browser cho Android có một tính năng “ẩn” cho phép tải xuống các thư viện và mô-đun mới từ máy chủ và cài chúng trên thiết bị di động của người dùng.

Cài plugin độc hại bằng tấn công MiTM

Điều gì đáng lo ngại? Tính năng này tải xuống các plugin mới từ máy chủ qua giao thức HTTP không an toàn thay vì giao thức HTTPS được mã hóa, từ đó cho phép kẻ tấn công từ xa thực hiện các cuộc tấn công MiTM và cài mô-đun độc hại vào thiết bị mục tiêu.

Trong video PoC được chia sẻ bởi Dr. Web, các nhà nghiên cứu đã minh họa cách thay thế plugin để xem tài liệu PDF bằng mã độc thông qua một cuộc tấn công MiTM, buộc UC Browser phải soạn một tin nhắn văn bản mới, thay vì mở tệp.

“Do đó, các cuộc tấn công MITM có thể giúp tội phạm mạng sử dụng UC Browser để phát tán các plugin độc hại nhằm thực hiện nhiều hành động khác”.

"Ví dụ, họ có thể hiển thị các tin nhắn lừa đảo để đánh cắp tên người dùng, mật khẩu, chi tiết thẻ ngân hàng và dữ liệu cá nhân khác. Ngoài ra, các mô-đun trojan sẽ có thể truy cập các tệp trình duyệt được bảo vệ và đánh cắp mật khẩu được lưu trong thư mục chương trình”.

UC Browser vi phạm chính sách của Google Play Store

Vì khả năng cho phép UCWeb tải xuống và thực thi mã tùy ý trên thiết bị người dùng mà không cần cài lại phiên bản mới của ứng dụng, UC Browser cũng vi phạm chính sách của Play Store.

Các nhà nghiên cứu cho biết: "Điều này vi phạm quy tắc của Google đối với phần mềm được phân phối trong cửa hàng ứng dụng của hãng. Chính sách hiện tại tuyên bố rằng các ứng dụng được tải xuống từ Google Play không thể thay đổi mã hoặc tải xuống bất kỳ thành phần phần mềm nào từ các nguồn của bên thứ ba".

"Những quy tắc này được áp dụng để ngăn chặn việc phân phối mô-đun trojan có khả năng tải xuống và khởi chạy các plugin độc hại".

Tính năng nguy hiểm này đã được tìm thấy trong UC Browser và UC Browser Mini, tất cả phiên bản đều bị ảnh hưởng bao gồm cả phiên bản mới nhất được phát hành cho đến nay.

Dr. Web đã báo cáo phát hiện của mình cho nhà phát triển của UC Browser và UC Browser Mini, nhưng họ từ chối đưa ra bình luận về vấn đề này. Sau đó, Dr. Web đã báo cáo vấn đề với Google.

Tại thời điểm viết bài, UC Browser và UC Browser Mini "vẫn có thể tải xuống các thành phần mới", các nhà nghiên cứu cho biết.

Một tính năng như vậy có thể bị lạm dụng trong các kịch bản tấn công chuỗi cung ứng khi máy chủ bị xâm nhập, cho phép kẻ tấn công cài các bản cập nhật độc hại cho một số lượng lớn người dùng cùng một lúc, giống như trường hợp máy chủ cập nhật phần mềm ASUS bị hack để phát tán mã độc, ảnh hưởng đến hơn 1 triệu máy tính do hãng sản xuất.

Vì vậy, người dùng chỉ còn một lựa chọn là... gỡ bỏ cho đến khi lỗi này được khắc phục.

Theo The Hacker News​