عثر الباحث الأمني عارف خان على ثغرةٍ في تطبيق UC Browser وتطبيق UC Browser Mini على أجهزة الأندرويد تعرّض المستخدمين لهجمات تزييف عنواين URL او ما يسمى أيضاً ب (URL spoofing)
تعتمد هجمات تزييف عنواين URL على قدرة المهاجمين على تغيير عنوان URL المعروضة ضمن شريط العناوين في متصفح الويب لخداع ضحاياهم ودفعهم إلى الاعتقاد بأن موقع الويب المُحمّل يتحكم فيه طرف موثوق. وبالتالي يقود المخترقون ضحاياهم الى صفحات ويب تسمح بسرقة معلوماتهم (مواقع تصيّد) أو دفعهم لتنزيل برامج ضارة على أجهزتهم عن طريق عرض اعلانات خبيثة.
Unpatched URL Address Bar Spoofing Vulnerability affecting UC Browser and UC Browser Mini latest versions, 12.11.2.1184 and 12.10.1.1192
Payload:
www[.]google[.]com.attacker.domain/?q=www.facebook[.]comWriteup: https://t.co/TCl4GZlqw6
UC Browser PoC: pic.twitter.com/9FEvs8Gna8
— payloadartist (@payloadartist) May 8, 2019
و أظهر الباحث أيضًا في فيديو كيف يمكن للمهاجمين المحتملين الاستفادة من الثغرة لتوجيه الضحايا المحتملين إلى مواقع التصيد أو او صفحات تعرض الإعلانات الخبيثة
تم اكتشاف هذه الثغرة في إصدارات UC Browser 12.11.2.1184 و UC Browser Mini 12.10.1.1192 ، وحتى وقت كتابة هذا المقال، لم يصدر مطورو التطبيق اية تصحيحٍ لهذه الثغرة على الرغم من أن الباحث الأمني كشف المشكلة في 30 أبريل 2019.
وقد كان باحثون من Doctor Web قد اكتشفوا سابقاً ان هذان التطبيقان يقومان بتعريض المستخدمين لهجمات (MiTM (Man in the Middle عن طريق تنزيل وتثبيت وحدات إضافية من خوادمهم باستخدام قنوات غير محمية وتجاوز خوادم Google Play تماماً.
