UC Browser für Android: Theoretische Gefahr bei Nutzung
von caschy | 10 Kommentare
Die Macher des Dr. Web Antivirus weisen derzeit auf eine potentielle Schwachstelle im UC Browser hin, der es im Google Play Store mit seinen Versionen auf rund über 600.000.000 Installationen bringt (was ich persönlich sehr überraschend finde). Dr. Web hat eine versteckte Fähigkeit des Browsers entdeckt, Hilfskomponenten aus dem Internet herunterzuladen. Der Browser empfängt Befehle von einem Befehls- und Steuerungsserver und lädt neue Bibliotheken und Module herunter, die neue Funktionen hinzufügen und zum Aktualisieren der Software verwendet werden können.
Während der Analyse hat der UC Browser beispielsweise eine ausführbare Linux-Bibliothek von einem Remote-Server heruntergeladen. Die Bibliothek war nicht bösartig; sie ist für die Arbeit mit MS Office Dokumenten und PDF-Dateien konzipiert. Diese Bibliothek war zunächst nicht im Browser vorhanden. Nach dem Herunterladen speicherte das Programm die Bibliothek in seinem Verzeichnis und startete sie zur Ausführung. Somit ist die Anwendung tatsächlich in der Lage, Code zu empfangen und auszuführen, unter Umgehung der Google-Play-Server.
Schadhaften Code habe man nicht ausmachen können – diese inoffizielle Update-Funktion in UC Browser kann aber eben auch von potenziellen Angreifern genutzt werden, um Man-in-the-Middle-Angriffe (MitM) durchzuführen, was möglicherweise zu einer Remotecodeausführung auf kompromittierten Geräten führt, da die App mit ihren Servern über einen unverschlüsselten Kanal über HTTP kommuniziert.
Nachdem sie die unsichere Funktion im UC Browser und UC Browser Mini entdeckt hatten, kontaktierten die Mitarbeiter von Dr. Web den Entwickler beider Browser, diese weigerten sich aber, zu dieser Angelegenheit Stellung zu nehmen. Die Malware-Analysten haben den Fall dann an Google gemeldet, aber zum Zeitpunkt der Veröffentlichung dieses Artikels sind beide Browser noch verfügbar und können neue Komponenten herunterladen, wobei sie die Google-Play-Server umgehen.
via dr. web
Wird geladen ...
Man muss doch nur schauen, wer hinter dem Browser steckt. Das sollte Anlass genug sein um ihn nicht zu nutzen. Mich würde allerdings auch mal interessieren, ob die iOS Version auch Updates ohne den AppStore lädt.
Dürfte ich Fragen wieso 600.000.000 überraschend sind für Dich?
Wahrscheinlich weil es 2014 schon 500.000.000 User waren. Was ist passiert, dass man seitdem nur um 20% gewachsen ist?
ich denke das ist normal das es irgendwann nur noch schleppend wachstum gibt aber vielleicht irre ich mich auch natürlich – mich verwundert diese extrem hohe anzahl an downloads
Ich nutze den UC Browser schon seit Symbian-Zeiten, da kein anderer Browser eine vergleichbare Gestensteuerung besitzt. Außerdem ist er auf meinem BlackBerry Priv schneller als jede Konkurrenz.
Für Tipps zu Alternativen bin ich aber offen…
Versuche mal Habit Browser, extrem stark anpassbar, inkl Gesten (zeichne g für Google Suche) und MultiTouch-Gesten (hoch-runter = GUI aus …, Gesten auch mit mehreren Fingern möglich). Kenne UC Browser nicht, denke aber, dass Habit Browser in Sachen Gesten/Anpassung noch wesentlich mehr zu bieten hat.
YuzuBrowser ist ein aktiv entwickelter Fork des Habit Browsers.
https://github.com/hazuki0x0/YuzuBrowser
Nicht schlecht, werde ich mal länger testen. Der UC Browser ist aber trotzdem deutlich schneller, vor allem beim Surfen durch die History (sprich: Betätigung des Zurück – Buttons) scheint es keinen adäquaten Konkurrenten zu geben. Sehr schade, denn für meine Zwecke – Zeitungsartikel lesen – ist das für die empfundene Geschwindigkeit entscheidend.
Vielleicht mit der Fastback Funktion (settings > page settings > fastback / fastback cache size) experimentieren.
Mh, wusste ich noch nicht, danke für den Hinweis 😉
Edit: hätte nicht gedacht, dass ich dies mal sagen würde, aber YuzuBrowser könnte durchaus bei mir den Habit Browser ersetzen!
Hat ja auch die gleiche DNA und wird dazu auch aktiv weiterentwickelt 🙂 .