Vulnerabilidades do UC Browser colocam em risco milhões de usuários do Android

Se você é uma das milhões de pessoas que usam o navegador UC do Alibaba, talvez você queira parar por enquanto. Pesquisadores do Dr. Web Anti-Virus descobriram que o UC Browser é capaz de contornar os servidores do Google Play para baixar módulos de software e bibliotecas adicionais, potencialmente permitindo que códigos maliciosos sejam baixados. A preocupação não é necessariamente que a UCWeb do Alibaba carregue malware nos dispositivos do usuário, mas a maneira como ele protege seu servidor de comando deixa a porta aberta para que outros façam exatamente isso.

Existem vários problemas com o modo como o UC Browser recebe essas bibliotecas adicionais. Para começar, ignorar os servidores do Google e o processo de verificação é obviamente uma violação das regras do Google Play, que proíbem que aplicativos hospedados no serviço façam o download de novos componentes de outras fontes que não sejam a Play Store. Dr. Web ressalta que o UC Browser tem usado esse método de entrega de software desde 2016, o que é particularmente preocupante quando você descobre que o servidor de comando e controle que o UC Browser usa envia o software pelo HTTP.

É aí que entra o problema real: como o UC Browser está fazendo o download do software pelo HTTP não criptografado em vez do HTTPS mais seguro, isso abre o potencial para ataques man-in-the-middle. É possível que hackers interceptem essas solicitações de software do UC Browser e usem-nas para enviar malware ao aplicativo, deixando os usuários em risco de serem vítimas de golpes de phishing ou algo pior.

O UC Browser também executará qualquer download, já que ele não verifica novos plug-ins e os executará mesmo que não sejam assinados. Com 500 milhões de downloads, esta vulnerabilidade está, definitivamente, colocando muitas pessoas em risco. Dr. Web observa em seu relatório que o UC Browser Mini - uma alternativa ao UC Browser padrão, que tem mais de 100 milhões de downloads - também é suscetível ao mesmo tipo de ataques.

Dr. A Web diz que relatou essas vulnerabilidades tanto para o autor do aplicativo quanto para o Google, mas no momento em que publicou o relatório (e, na verdade, no momento em que este artigo foi escrito), os dois aplicativos ainda estavam disponíveis na Google Play Store. Enquanto esperamos que o Alibaba responda a este relatório, é provavelmente uma boa ideia desinstalar o UC Browser, para que você não corra o risco dos ataques man-in-the-middle detalhados acima.

Via: Slash Gear