Приложения загружали на устройства пользователей сторонние APK через незащищенные каналы.
Популярные мобильные браузеры UC Browser и UC Browser Mini, в общей сложности загруженные из Google Play Store более 500 млн раз, подвергают своих пользователей риску стать жертвами атаки «человек посередине».
По словам специалистов из Zscaler ThreatLabZ, браузеры загружают файлы Android Package Kit (APK) со сторонних серверов через незащищенные каналы. Подобное поведение является прямым нарушением политик Google Play Store, поскольку все распространяемые через магазин приложения «не могут модифицироваться, заменяться или обновляться каким-то иным способом, кроме как с помощью механизма обновлений Google Play».
«Приложение также не может загружать исполняемый код (файлы dex, JAR, .so) из других источников, кроме Google Play», – говорится в политиках конфиденциальности и безопасности Google Play.
Проанализировав поведение приложений, исследователи обнаружили следующее:
Приложения загружают дополнительные APK из сторонних источников – прямое нарушение политик Google Play;
Загрузка осуществляется через незащищенные каналы, что делает пользователей уязвимыми к атакам «человек посередине»;
APK загружается во внешнее хранилище (/storage/emulated/0).
В августе нынешнего года исследователи уведомили о проблеме компанию Google, а та в свою очередь сообщила о ней разработчикам UC Browser и UC Browser Mini. Похоже, они исправили уязвимость, поскольку приложения перестали загружать APK из сторонних источников.
