屢教不改！微軟在華產(chǎn)品又雙叒被曝留后門

作者丨青風

編輯丨六子

微軟被曝在華產(chǎn)品留有后門。

去年，微軟曾推出一個名為“UCPD”的Windows驅(qū)動程序，能阻止不受信任的第三方軟件修改瀏覽器、文檔等默認打開程序。

但專業(yè)人士通過逆向工程發(fā)現(xiàn)，這個原本被設(shè)計為保護用戶的程序，卻成為了微軟最底層的“自留地”。而且，該后門尤其針對中國用戶和中國的眾多知名軟件。

*圖源財經(jīng)網(wǎng)科技微博

01
「“保護默認設(shè)置”變成了木馬后門」

微軟在2024年3月推出了 UCPD 驅(qū)動程序。這個程序全名為“用戶選擇保護驅(qū)動程序”，原本用于防止軟件隨意更改默認瀏覽器或文件的打開方式。比如，有人將默認瀏覽器設(shè)置為Chrome，有人習慣用WPS打開文檔。

表面來看，這似乎是一個保護用戶設(shè)置的小“保安”。然而技術(shù)追蹤顯示這個組件遠比想象復雜得多。

據(jù)安全專家分析，這個小“保安”是一串加密數(shù)據(jù)，深藏在Windows系統(tǒng)注冊表里。一旦檢測到用戶設(shè)置的默認應用有被修改的操作，微軟就可以通過云端配置系統(tǒng)向它發(fā)送指令，實際是寫入數(shù)據(jù)，然后調(diào)用解密邏輯，再把這些數(shù)據(jù)轉(zhuǎn)換成可直接運行的可執(zhí)行程序。

它手上有兩份名單，一個白名單，一個黑名單。白名單里的放行，黑名單里的就會被阻止、攔截。微軟自己的Edge瀏覽器、Office辦公軟件，自然都在白名單里。

而當這個“保安”被觸發(fā)激活時，它還會記錄用戶（尤其是中國地區(qū)用戶）的很多操作，比如運行了什么軟件、該軟件的證書信息、修改了系統(tǒng)哪些設(shè)置、在白名單還是黑名單中、以及是否成功還是被攔截等。所有這些細節(jié)都被打包成一個模糊名稱的日志。一旦用戶開啟了“發(fā)送可選診斷數(shù)據(jù)”，這些涉及個人隱私和商業(yè)機密的信息就會通過加密通道，無聲無息地流向微軟的服務器。

可怕的是，上述操作的整個過程完全在后臺靜默進行，用戶對此一無所知。

非用戶主動安裝，能直接運行，功能未知，甚至可能接收遠程指令。這顯然超出了“保護默認設(shè)置”的范疇，其運行邏輯幾乎和典型的木馬程序如出一轍：利用注冊表深層路徑隱藏關(guān)鍵數(shù)據(jù)；滿足系統(tǒng)事件后才會釋放可執(zhí)行文件；動態(tài)生成，新程序功能不明，卻能直接運行；對特定地區(qū)用戶采集數(shù)據(jù)并傳輸……

UCPD 驅(qū)動程序和木馬的唯一差別在于，木馬是陌生的可疑程序，而 UCPD卻帶著微軟官方簽名。它擁有最高權(quán)限、最深信任度，讓安全軟件也難以察覺。當一個后門披上了“官方組件”的外衣，它的隱蔽性與危險性更甚于木馬。

02
「國內(nèi)用戶被區(qū)別對待」

技術(shù)專家還發(fā)現(xiàn)，UCPD并不是對所有用戶一視同仁，尤其對中國區(qū)別對待。

它會從系統(tǒng)注冊表中讀取地理位置代碼，只有當代碼為中國大陸（45）、中國香港（104）、中國澳門（151）或中國臺灣（237）時，才會全面激活所有監(jiān)控功能，并強制開啟數(shù)據(jù)上報機制。

對于歐美等其他地區(qū)用戶，這些侵犯性的功能則完全不會觸發(fā)。只有中國的用戶運行了哪些軟件，都會被保安詳細記錄成“小報告”（日志），然后加密寄回微軟總部。

技術(shù)分析發(fā)現(xiàn)，UCPD還內(nèi)置了針對中國軟件廠商的攔截機制，通過數(shù)字簽名、進程名、路徑匹配等三重黑名單進行過濾。只要任何一項對上，保安就會立刻阻止該軟件修改系統(tǒng)默認設(shè)置。據(jù)查，在黑名單中的中國軟件廠商包括360、搜狗、金山、騰訊等。

這幾家的產(chǎn)品主要是安全、瀏覽器、輸入法、搜索、辦公等工具軟件，與微軟的很多產(chǎn)品有直接競爭。比如360瀏覽器、QQ瀏覽器對標微軟Edge，搜狗輸入法對標微軟輸入法，金山WPS平替微軟Office等。

而且，這幾家軟件的用戶量巨大，市場滲透率也都非常高。以360為例，根據(jù)最新的財報數(shù)據(jù)，360安全衛(wèi)士（PC端）平均月活躍用戶數(shù)達4.3億，市場占有率約95%；360安全瀏覽器平均月活躍用戶數(shù)近4億，市場占有率約80%。

直接的競爭，與龐大的用戶規(guī)模，無疑給微軟帶來極大競爭壓力。而微軟UCPD驅(qū)動程序的暗中攔截行為，難免有既當球員、又當裁判員的嫌疑，明顯屬于不正當競爭。

當然，有不少用戶對360、搜狗、金山等軟件“強綁定”的行為，頗有微詞，但微軟UCPD的做法同樣沒有為用戶提供選擇權(quán)，既不當競爭，也有地域歧視。

形成鮮明對比的是，中國用戶面臨 UCPD的強制與后門，但在歐洲市場，微軟卻不得不按照《數(shù)字市場法》（DMA）的要求推出“公平模式”。由此可見，這不是技術(shù)能力問題，而是微軟策略上的差別對待。

03
「屢教不改」

事實上，這并不是國外科技企業(yè)首次被曝“后門”安全風險。

今年7月31日，國家互聯(lián)網(wǎng)信息辦公室約談了英偉達公司，要求英偉達公司就對華銷售的H20算力芯片漏洞后門安全風險問題進行說明并提交相關(guān)證明材料。9月15日，國家市場監(jiān)督管理總局發(fā)布消息稱，英偉達因違反反壟斷法，被該局依法決定實施進一步調(diào)查。

而把視線拉長，會發(fā)現(xiàn)一直標榜信息安全的微軟，竟然被多次曝光存在安全漏洞或后門程序。

今年8月，國家互聯(lián)網(wǎng)應急中心（CNCERT）監(jiān)測發(fā)現(xiàn)，近年來，美國情報機構(gòu)將網(wǎng)絡(luò)攻擊竊密的重點目標瞄準我國高科技軍工類的高校、科研院所及企業(yè)。其中，2022年7月至2023年7月，美情報機構(gòu)利用微軟Exchange郵件系統(tǒng)零日漏洞對我國某大型重要軍工企業(yè)的郵件服務器攻擊并控制將近1年。

據(jù)央視新聞披露，2025 年哈爾濱第九屆亞冬會賽事信息系統(tǒng)和黑龍江省內(nèi)的部分關(guān)鍵信息基礎(chǔ)設(shè)施遭到境外網(wǎng)絡(luò)攻擊分別為27萬次、5000萬次，部分數(shù)據(jù)一度面臨泄露風險。據(jù)報道，上述攻擊是美國國家安全局基于微軟Windows操作系統(tǒng)的特定設(shè)備發(fā)送未知加密字節(jié)，疑為喚醒、激活微軟Windows操作系統(tǒng)提前預留的特定后門。

*圖源央視

不僅如此，微軟還利用Windows操作系統(tǒng)的市場優(yōu)勢，推廣自家的Edge瀏覽器，誘導用戶將其設(shè)為默認。比如，修改Chrome下載頁面，使用類似惡意軟件的彈窗干擾，在訪問Chrome、Firefox或Opera時強行跳轉(zhuǎn)到Edge，甚至通過Windows更新擅自啟動Edge并將其固定在桌面和任務欄。對此，Opera瀏覽器在2025年7月向巴西競爭監(jiān)管機構(gòu)提出投訴，指控微軟通過預裝、誤導性設(shè)計和人為增加設(shè)置難度等方式推廣Edge。

從上面諸多的案例可以看出，微軟系統(tǒng)后門事件不斷，是一個“屢教不改”的慣犯。通過各種“水面下”的操作，威脅著全球用戶的信息安全和國家安全。這也在時刻提醒國人，政務、能源等關(guān)鍵領(lǐng)域需全面切換至國產(chǎn)操作系統(tǒng)，避免完全依賴Windows生態(tài)。