UC Browser für Android: Theoretische Gefahr bei Nutzung

Die Macher des Dr. Web Antivirus weisen derzeit auf eine potentielle Schwachstelle im UC Browser hin, der es im Google Play Store mit seinen Versionen auf rund über 600.000.000 Installationen bringt (was ich persönlich sehr überraschend finde). Dr. Web hat eine versteckte Fähigkeit des Browsers entdeckt, Hilfskomponenten aus dem Internet herunterzuladen. Der Browser empfängt Befehle von einem Befehls- und Steuerungsserver und lädt neue Bibliotheken und Module herunter, die neue Funktionen hinzufügen und zum Aktualisieren der Software verwendet werden können.

Während der Analyse hat der UC Browser beispielsweise eine ausführbare Linux-Bibliothek von einem Remote-Server heruntergeladen. Die Bibliothek war nicht bösartig; sie ist für die Arbeit mit MS Office Dokumenten und PDF-Dateien konzipiert. Diese Bibliothek war zunächst nicht im Browser vorhanden. Nach dem Herunterladen speicherte das Programm die Bibliothek in seinem Verzeichnis und startete sie zur Ausführung. Somit ist die Anwendung tatsächlich in der Lage, Code zu empfangen und auszuführen, unter Umgehung der Google-Play-Server.

Schadhaften Code habe man nicht ausmachen können – diese inoffizielle Update-Funktion in UC Browser kann aber eben auch von potenziellen Angreifern genutzt werden, um Man-in-the-Middle-Angriffe (MitM) durchzuführen, was möglicherweise zu einer Remotecodeausführung auf kompromittierten Geräten führt, da die App mit ihren Servern über einen unverschlüsselten Kanal über HTTP kommuniziert.

Nachdem sie die unsichere Funktion im UC Browser und UC Browser Mini entdeckt hatten, kontaktierten die Mitarbeiter von Dr. Web den Entwickler beider Browser, diese weigerten sich aber, zu dieser Angelegenheit Stellung zu nehmen. Die Malware-Analysten haben den Fall dann an Google gemeldet, aber zum Zeitpunkt der Veröffentlichung dieses Artikels sind beide Browser noch verfügbar und können neue Komponenten herunterladen, wobei sie die Google-Play-Server umgehen.

via dr. web

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

Avatar-Foto

Hallo, ich bin Carsten! Ich bin gelernter IT-Systemelektroniker und habe das Blog 2005 gegründet. Baujahr 1977, Dortmunder im Norden, BVB-Fan und Vater eines Sohnes. Auch zu finden bei X, Threads, Facebook, LinkedIn und Instagram.

Neueste Beiträge

Mit dem Absenden eines Kommentars stimmst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.

10 Kommentare

  1. Man muss doch nur schauen, wer hinter dem Browser steckt. Das sollte Anlass genug sein um ihn nicht zu nutzen. Mich würde allerdings auch mal interessieren, ob die iOS Version auch Updates ohne den AppStore lädt.

  2. Dürfte ich Fragen wieso 600.000.000 überraschend sind für Dich?

    • Wahrscheinlich weil es 2014 schon 500.000.000 User waren. Was ist passiert, dass man seitdem nur um 20% gewachsen ist?

      • ich denke das ist normal das es irgendwann nur noch schleppend wachstum gibt aber vielleicht irre ich mich auch natürlich – mich verwundert diese extrem hohe anzahl an downloads

  3. Ich nutze den UC Browser schon seit Symbian-Zeiten, da kein anderer Browser eine vergleichbare Gestensteuerung besitzt. Außerdem ist er auf meinem BlackBerry Priv schneller als jede Konkurrenz.
    Für Tipps zu Alternativen bin ich aber offen…

    • Versuche mal Habit Browser, extrem stark anpassbar, inkl Gesten (zeichne g für Google Suche) und MultiTouch-Gesten (hoch-runter = GUI aus …, Gesten auch mit mehreren Fingern möglich). Kenne UC Browser nicht, denke aber, dass Habit Browser in Sachen Gesten/Anpassung noch wesentlich mehr zu bieten hat.

      • YuzuBrowser ist ein aktiv entwickelter Fork des Habit Browsers.
        https://github.com/hazuki0x0/YuzuBrowser

        • Nicht schlecht, werde ich mal länger testen. Der UC Browser ist aber trotzdem deutlich schneller, vor allem beim Surfen durch die History (sprich: Betätigung des Zurück – Buttons) scheint es keinen adäquaten Konkurrenten zu geben. Sehr schade, denn für meine Zwecke – Zeitungsartikel lesen – ist das für die empfundene Geschwindigkeit entscheidend.

          • Vielleicht mit der Fastback Funktion (settings > page settings > fastback / fastback cache size) experimentieren.

        • Mh, wusste ich noch nicht, danke für den Hinweis 😉

          Edit: hätte nicht gedacht, dass ich dies mal sagen würde, aber YuzuBrowser könnte durchaus bei mir den Habit Browser ersetzen!
          Hat ja auch die gleiche DNA und wird dazu auch aktiv weiterentwickelt 🙂 .

Es werden alle Kommentare moderiert. Lies auch bitte unsere Kommentarregeln:

Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen. Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte - gerne auch mit Humor. In jedes Thema Politik einbringen ist nicht erwünscht.

Du willst nichts verpassen?

Du hast die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den Hauptfeed abonnieren.