Две компании безопасности подтвердили, что веб-браузер Maxthon собирает конфиденциальную пользовательскую информацию, даже если пользователь запрещает подобное поведение
Согласно отчетам от Exatel и Fidelis Cybersecurity проблема обнаружена в текущей реализации программы улучшения качества ПО (UEIP), включенной в браузеры Maxthon.
UEIP позволяет разработчику собирать аналитическую информацию об использовании браузера. Все браузеры предлагают подобные программы, включая Firefox и Chrome, но в умеренной форме.
Сбор большего количества данных, чем необходимо
Exatel и Fidelis утверждают, что Maxthon собирает больше информации, чем считается приемлемым.
Набор данных включает в себя версию операционной системы, разрешение экрана, тип процессора, частоту процессора, объем установленной памяти, расположение исполняемого файла Maxthon, статус блокировщика рекламы, домашнюю страницу браузера, полную историю посещений, все запросы в поисковой системе Google и список других приложений, установленных в системе, включая номер версии.
Exatel сообщает, что все данные были обнаружены внутри файла ueipdat.zip, который регулярно отправляется из браузера на HTTP-серверы Maxthon в Китае.
Внутри данного архива, исследователи обнаружили зашифрованный файл под названием dat.txt. Exatel смог взломать механизм шифрования на базе AES-128-ECB с помощью пароля eu3o4[r04cml4eir, обнаруженного глубоко в бинарном коде Maxthon. Dat.txt содержал все данные, перечисленные выше.
Ошибка или умышленное поведение?
Генеральный директор Maxthon Джефф Чен (Jeff Chen) прокомментировал новость: “Maxthon со всей серьезностью принимает утверждения из доклада Exatel и, мы проведем тщательное расследование по данной проблеме”.
На
форуме компании представитель Maxthon сообщил, что конфиденциальные данные собираются, только если пользователь принимает участие в программе улучшения качества ПО, и в противном случае собираются лишь обезличенные телеметрические данные.
Согласно Exatel и Fidelis это не соответствует действительности. В их тестировании даже после отказа от участия в программе, веб-браузер Maxthon собирал все те же приватные данные и отправлял их на сервера компании.
Ранее похожая проблема была обнаружена исследователями из Citizen Lab в китайских браузерах QQ Browser (март 2016), Baidu Browser (февраль 2016) и UC Browser (май 2015).
