作者丨青風(fēng)

編輯丨六子

微軟被曝在華產(chǎn)品留有后門。

去年，微軟曾推出一個名為“UCPD”的Windows驅(qū)動程序，能阻止不受信任的第三方軟件修改瀏覽器、文檔等默認(rèn)打開程序。

但專業(yè)人士通過逆向工程發(fā)現(xiàn)，這個原本被設(shè)計為保護(hù)用戶的程序，卻成為了微軟最底層的“自留地”。而且，該后門尤其針對中國用戶和中國的眾多知名軟件。

*圖源財經(jīng)網(wǎng)科技微博

01
「“保護(hù)默認(rèn)設(shè)置”變成了木馬后門」

微軟在2024年3月推出了 UCPD 驅(qū)動程序。這個程序全名為“用戶選擇保護(hù)驅(qū)動程序”，原本用于防止軟件隨意更改默認(rèn)瀏覽器或文件的打開方式。比如，有人將默認(rèn)瀏覽器設(shè)置為Chrome，有人習(xí)慣用WPS打開文檔。

表面來看，這似乎是一個保護(hù)用戶設(shè)置的小“保安”。然而技術(shù)追蹤顯示這個組件遠(yuǎn)比想象復(fù)雜得多。

據(jù)安全專家分析，這個小“保安”是一串加密數(shù)據(jù)，深藏在Windows系統(tǒng)注冊表里。一旦檢測到用戶設(shè)置的默認(rèn)應(yīng)用有被修改的操作，微軟就可以通過云端配置系統(tǒng)向它發(fā)送指令，實際是寫入數(shù)據(jù)，然后調(diào)用解密邏輯，再把這些數(shù)據(jù)轉(zhuǎn)換成可直接運行的可執(zhí)行程序。

它手上有兩份名單，一個白名單，一個黑名單。白名單里的放行，黑名單里的就會被阻止、攔截。微軟自己的Edge瀏覽器、Office辦公軟件，自然都在白名單里。

而當(dāng)這個“保安”被觸發(fā)激活時，它還會記錄用戶（尤其是中國地區(qū)用戶）的很多操作，比如運行了什么軟件、該軟件的證書信息、修改了系統(tǒng)哪些設(shè)置、在白名單還是黑名單中、以及是否成功還是被攔截等。所有這些細(xì)節(jié)都被打包成一個模糊名稱的日志。一旦用戶開啟了“發(fā)送可選診斷數(shù)據(jù)”，這些涉及個人隱私和商業(yè)機(jī)密的信息就會通過加密通道，無聲無息地流向微軟的服務(wù)器。

可怕的是，上述操作的整個過程完全在后臺靜默進(jìn)行，用戶對此一無所知。

非用戶主動安裝，能直接運行，功能未知，甚至可能接收遠(yuǎn)程指令。這顯然超出了“保護(hù)默認(rèn)設(shè)置”的范疇，其運行邏輯幾乎和典型的木馬程序如出一轍：利用注冊表深層路徑隱藏關(guān)鍵數(shù)據(jù)；滿足系統(tǒng)事件后才會釋放可執(zhí)行文件；動態(tài)生成，新程序功能不明，卻能直接運行；對特定地區(qū)用戶采集數(shù)據(jù)并傳輸……

UCPD 驅(qū)動程序和木馬的唯一差別在于，木馬是陌生的可疑程序，而 UCPD卻帶著微軟官方簽名。它擁有最高權(quán)限、最深信任度，讓安全軟件也難以察覺。當(dāng)一個后門披上了“官方組件”的外衣，它的隱蔽性與危險性更甚于木馬。

02
「國內(nèi)用戶被區(qū)別對待」

技術(shù)專家還發(fā)現(xiàn)，UCPD并不是對所有用戶一視同仁，尤其對中國區(qū)別對待。

它會從系統(tǒng)注冊表中讀取地理位置代碼，只有當(dāng)代碼為中國大陸（45）、中國香港（104）、中國澳門（151）或中國臺灣（237）時，才會全面激活所有監(jiān)控功能，并強制開啟數(shù)據(jù)上報機(jī)制。

對于歐美等其他地區(qū)用戶，這些侵犯性的功能則完全不會觸發(fā)。只有中國的用戶運行了哪些軟件，都會被保安詳細(xì)記錄成“小報告”（日志），然后加密寄回微軟總部。

技術(shù)分析發(fā)現(xiàn)，UCPD還內(nèi)置了針對中國軟件廠商的攔截機(jī)制，通過數(shù)字簽名、進(jìn)程名、路徑匹配等三重黑名單進(jìn)行過濾。只要任何一項對上，保安就會立刻阻止該軟件修改系統(tǒng)默認(rèn)設(shè)置。據(jù)查，在黑名單中的中國軟件廠商包括360、搜狗、金山、騰訊等。

這幾家的產(chǎn)品主要是安全、瀏覽器、輸入法、搜索、辦公等工具軟件，與微軟的很多產(chǎn)品有直接競爭。比如360瀏覽器、QQ瀏覽器對標(biāo)微軟Edge，搜狗輸入法對標(biāo)微軟輸入法，金山WPS平替微軟Office等。

而且，這幾家軟件的用戶量巨大，市場滲透率也都非常高。以360為例，根據(jù)最新的財報數(shù)據(jù)，360安全衛(wèi)士（PC端）平均月活躍用戶數(shù)達(dá)4.3億，市場占有率約95%；360安全瀏覽器平均月活躍用戶數(shù)近4億，市場占有率約80%。

直接的競爭，與龐大的用戶規(guī)模，無疑給微軟帶來極大競爭壓力。而微軟UCPD驅(qū)動程序的暗中攔截行為，難免有既當(dāng)球員、又當(dāng)裁判員的嫌疑，明顯屬于不正當(dāng)競爭。

當(dāng)然，有不少用戶對360、搜狗、金山等軟件“強綁定”的行為，頗有微詞，但微軟UCPD的做法同樣沒有為用戶提供選擇權(quán)，既不當(dāng)競爭，也有地域歧視。

形成鮮明對比的是，中國用戶面臨 UCPD的強制與后門，但在歐洲市場，微軟卻不得不按照《數(shù)字市場法》（DMA）的要求推出“公平模式”。由此可見，這不是技術(shù)能力問題，而是微軟策略上的差別對待。

03
「屢教不改」

事實上，這并不是國外科技企業(yè)首次被曝“后門”安全風(fēng)險。

今年7月31日，國家互聯(lián)網(wǎng)信息辦公室約談了英偉達(dá)公司，要求英偉達(dá)公司就對華銷售的H20算力芯片漏洞后門安全風(fēng)險問題進(jìn)行說明并提交相關(guān)證明材料。9月15日，國家市場監(jiān)督管理總局發(fā)布消息稱，英偉達(dá)因違反反壟斷法，被該局依法決定實施進(jìn)一步調(diào)查。

而把視線拉長，會發(fā)現(xiàn)一直標(biāo)榜信息安全的微軟，竟然被多次曝光存在安全漏洞或后門程序。

今年8月，國家互聯(lián)網(wǎng)應(yīng)急中心（CNCERT）監(jiān)測發(fā)現(xiàn)，近年來，美國情報機(jī)構(gòu)將網(wǎng)絡(luò)攻擊竊密的重點目標(biāo)瞄準(zhǔn)我國高科技軍工類的高校、科研院所及企業(yè)。其中，2022年7月至2023年7月，美情報機(jī)構(gòu)利用微軟Exchange郵件系統(tǒng)零日漏洞對我國某大型重要軍工企業(yè)的郵件服務(wù)器攻擊并控制將近1年。

據(jù)央視新聞披露，2025 年哈爾濱第九屆亞冬會賽事信息系統(tǒng)和黑龍江省內(nèi)的部分關(guān)鍵信息基礎(chǔ)設(shè)施遭到境外網(wǎng)絡(luò)攻擊分別為27萬次、5000萬次，部分?jǐn)?shù)據(jù)一度面臨泄露風(fēng)險。據(jù)報道，上述攻擊是美國國家安全局基于微軟Windows操作系統(tǒng)的特定設(shè)備發(fā)送未知加密字節(jié)，疑為喚醒、激活微軟Windows操作系統(tǒng)提前預(yù)留的特定后門。

*圖源央視

不僅如此，微軟還利用Windows操作系統(tǒng)的市場優(yōu)勢，推廣自家的Edge瀏覽器，誘導(dǎo)用戶將其設(shè)為默認(rèn)。比如，修改Chrome下載頁面，使用類似惡意軟件的彈窗干擾，在訪問Chrome、Firefox或Opera時強行跳轉(zhuǎn)到Edge，甚至通過Windows更新擅自啟動Edge并將其固定在桌面和任務(wù)欄。對此，Opera瀏覽器在2025年7月向巴西競爭監(jiān)管機(jī)構(gòu)提出投訴，指控微軟通過預(yù)裝、誤導(dǎo)性設(shè)計和人為增加設(shè)置難度等方式推廣Edge。

從上面諸多的案例可以看出，微軟系統(tǒng)后門事件不斷，是一個“屢教不改”的慣犯。通過各種“水面下”的操作，威脅著全球用戶的信息安全和國家安全。這也在時刻提醒國人，政務(wù)、能源等關(guān)鍵領(lǐng)域需全面切換至國產(chǎn)操作系統(tǒng)，避免完全依賴Windows生態(tài)。