安全專家曝微軟暗藏后門監(jiān)控中國用戶快訊
此次微軟被曝暗藏后門監(jiān)控中國用戶一事，UCPD.sys對中國用戶有額外一層監(jiān)控，UCPD.sys 會在系統(tǒng)注冊表的深層路徑寫入一串加密數(shù)據(jù)。
【TechWeb】9月15日消息，英偉達H20芯片后門風(fēng)波尚未遠去，如今微軟又被曝出在華產(chǎn)品留有后門。
此次微軟后門事件的主角是UCPD.sys（全稱為User Choice Protection Driver，用戶選擇保護驅(qū)動），一款“保護用戶設(shè)置的默認應(yīng)用不被第三方軟件隨意修改”的工具。但用戶發(fā)現(xiàn)，該程序背后藏有貓膩。
從事網(wǎng)絡(luò)安全的技術(shù)員玄道在個人公眾號發(fā)文稱，UCPD.sys在注冊表深層隱藏加密數(shù)據(jù)、動態(tài)釋放未知程序，且僅對中國地區(qū)用戶強制開啟數(shù)據(jù)收集機制。此外，還精準(zhǔn)屏蔽360、騰訊、金山等中國安全及辦公軟件，引導(dǎo)用戶使用微軟相關(guān)軟件 。
反映在用戶層面，就是你將微軟默認的瀏覽器或PDF閱讀器變更為國產(chǎn)軟件時，會被UCPD.sys“橫加阻攔”，甚至在系統(tǒng)更新或電腦重啟后，又重新跳回到微軟默認的應(yīng)用。
這一操作引發(fā)了人們對微軟不正當(dāng)競爭的質(zhì)疑，更令人擔(dān)憂的是，用戶隱私、數(shù)據(jù)安全該如何保障。
微軟被曝區(qū)別對待中國用戶 偷偷上報用戶數(shù)據(jù)
按照微軟的公開說明，UCPD.sys 是一個“用戶選擇保護驅(qū)動”，主要用于防止惡意軟件隨意更改默認瀏覽器或文件打開方式。表面上看，這應(yīng)該相當(dāng)于一個“系統(tǒng)設(shè)置守護神”的功能，但網(wǎng)上曝光的技術(shù)追蹤顯示這個組件比想象中更復(fù)雜。
據(jù)玄道披露，UCPD.sys 會在系統(tǒng)注冊表的深層路徑寫入一串加密數(shù)據(jù)，這些數(shù)據(jù)在常規(guī)工具看來是無意義的亂碼，但它其實會持續(xù)監(jiān)視注冊表路徑變更，微軟可以通過云端配置系統(tǒng)向該注冊表項寫入數(shù)據(jù)，UCPD一旦檢測到變化，便會立即讀取并解析其中的內(nèi)容。
隨后UCPD.sys就會調(diào)用解密邏輯，把這些數(shù)據(jù)轉(zhuǎn)換成可直接運行的可執(zhí)行程序（PE 文件）。這些程序并非用戶主動安裝，卻能直接運行，功能未知，甚至可能接收遠程指令。
(線程函數(shù)：循環(huán)監(jiān)控指定注冊表項，一旦變化即讀取并處理鍵值）
換句話說，它像木馬一樣，利用注冊表當(dāng)作倉庫，在暗中釋放程序。這已經(jīng)超出了“保護默認設(shè)置”的范疇，就是一個潛伏的后門。
更令人不安的是，UCPD.sys對中國用戶有額外一層監(jiān)控。具體表現(xiàn)為，UCPD會主動讀取系統(tǒng)地理位置編碼。當(dāng)代碼為中國（45）、中國香港（104）、中國澳門（151）或中國臺灣（237）時，驅(qū)動會激活額外的監(jiān)控功能并開啟日志上報行為。
而日志內(nèi)容極其詳盡，包括ProcName（進程的完整路徑）、ModifingModulePublisher（模塊的數(shù)字證書簽發(fā)者）、RegKeyPath / PreProgId（試圖修改的注冊表路徑及修改前后的值）以及UCPDVersion / CloudRuleVersion（驅(qū)動和云規(guī)則的版本）。
如果用戶系統(tǒng)開啟了“發(fā)送可選診斷數(shù)據(jù)”，這些日志將被加密上傳至微軟服務(wù)器。
也就是說，這些報告不僅記錄了你做了什么，還記錄了你用了誰家的工具，以及系統(tǒng)最終是如何處理的。這些數(shù)據(jù)匯聚到微軟，足以清晰還原出中國用戶的軟件使用習(xí)慣和偏好。
值得一提的是，在其他地區(qū)，這些功能是關(guān)閉的。比如，在歐盟地區(qū)，受《數(shù)字市場法》（DMA）的要求，微軟不得不推出“公平模式”。用戶可以一鍵切換包括瀏覽器、PDF閱讀器和Office軟件的默認應(yīng)用。而且系統(tǒng)不會阻攔用戶對默認應(yīng)用的修改，更不會自動恢復(fù)原有設(shè)置。
還有這些中國軟件被微軟針對性限制
除了中國用戶被區(qū)別對待之外，一些中國軟件也被微軟“針對性限制”。
在UCPD.sys所謂的“保護機制”名單中，360、騰訊、聯(lián)想、WPS、搜狗、2345等國內(nèi)用戶高頻使用的軟件均被納入限制范圍，幾乎覆蓋了日常辦公、安全防護、工具應(yīng)用等核心領(lǐng)域。
玄道指出，UCPD內(nèi)置了針對中國軟件廠商的攔截機制，通過三重黑名單進行過濾：
1.數(shù)字簽名黑名單：直接檢查程序數(shù)字證書的發(fā)行者，只要是名單上的中國廠商（如360、騰訊、金山等），其操作一律被阻止。
2.進程名黑名單：檢查運行中的進程名是否匹配黑名單。
3. 進程路徑黑名單：檢查程序是否安裝在這些廠商的常見目錄下。
微軟宣稱這是“守護用戶選擇”，防止“惡意修改設(shè)置”，實際上則被認為是通過系統(tǒng)級權(quán)限，限制第三方軟件與微軟體系軟件的競爭。
寫在最后：
玄道認為，UCPD遠不止一個簡單的“保護驅(qū)動” ，其根據(jù)地理位置激活不同行為模式的做法，構(gòu)成了對中國用戶的歧視性監(jiān)控。而其針對中國軟件廠商的黑名單，則涉嫌利用系統(tǒng)底層權(quán)限進行不正當(dāng)競爭。 更重要的是，其遠程代碼執(zhí)行機制的存在，在本質(zhì)上為系統(tǒng)開了一個巨大的“后門”，帶來了潛在的安全風(fēng)險。
2022年7月至2023年7月，國家互聯(lián)網(wǎng)應(yīng)急中心（CNCERT）監(jiān)測到美國情報機構(gòu)利用微軟Exchange郵件系統(tǒng)漏洞，長期攻擊我國軍工企業(yè)、航天研究所及生物醫(yī)藥公司。
據(jù)央視新聞披露，2025年哈爾濱第九屆亞冬會賽事信息系統(tǒng)和黑龍江省內(nèi)的部分關(guān)鍵信息基礎(chǔ)設(shè)施遭到境外網(wǎng)絡(luò)攻擊超5000萬次。據(jù)報道，上述攻擊是美國國家安全局基于微軟Windows操作系統(tǒng)的特定設(shè)備發(fā)送未知加密字節(jié)，疑為喚醒、激活微軟Windows操作系統(tǒng)提前預(yù)留的特定后門。
此次微軟被曝暗藏后門監(jiān)控中國用戶一事，不僅關(guān)乎用戶隱私，也讓“國際產(chǎn)品是否絕對安全”再次成為輿論關(guān)注焦點。有業(yè)內(nèi)人士指出，微軟正從隱私守護者變成監(jiān)控幫兇，用戶對其數(shù)字工具的信任正在崩塌。
對此，截至發(fā)稿，微軟方面暫未回應(yīng)。（周小白）
1.TMT觀察網(wǎng)遵循行業(yè)規(guī)范，任何轉(zhuǎn)載的稿件都會明確標(biāo)注作者和來源；
2.TMT觀察網(wǎng)的原創(chuàng)文章，請轉(zhuǎn)載時務(wù)必注明文章作者和"來源：TMT觀察網(wǎng)"，不尊重原創(chuàng)的行為TMT觀察網(wǎng)或?qū)⒆肪控?zé)任；
3.作者投稿可能會經(jīng)TMT觀察網(wǎng)編輯修改或補充。
