Премахнати са над 500 злонамерени добавки от Chrome Web Store

Резюме блокиране на серия от злонамерени добавки за интернет браузера Chrome, жертви на които станаха милиони потребители. На първия етап независимият изследовател Джамиля Кая (Jamila Kaya) и компанията Duo Security установиха 71 злонамерена добавка в каталога на Chrome Web Store. Общо тези добавки наброяват над 1.7 милиона инсталации. След уведомяване на Google за проблема, в каталога бяха открити още над 430 подобни добавки, чиято бройка инсталации не се съобщава.

Забележително е, че въпреки значителния брой инсталации, нито една от проблематичните добавки няма отзиви от потребители, което поражда въпроси относно начините на инсталиране на добавките и как злонамерената активност е останала незабелязана. В момента всички проблемни добавки са премахнати от Chrome Web Store.
Според изследователите свързаната със заблокираните добавки злонамерена дейност се води от януари 2019 година, но отделни домейни, използвани за извършване на злонамерени действия, бяха регистрирани още през 2017 година.

В основната си маса злонамерените добавки се представяха като инструменти за популяризиране на продукти и участие в рекламни услуги (потребителят гледа реклами и получава възнаграждения). В добавките се прилагаше техника за пренасочване към рекламирани сайтове при отваряне на страници, които последователно се показваха преди показването на заявения сайт.

При всички добавки се използваше еднаква техника за скриване на злонамерена активност и заобикаляне на механизмите за верификация на добавките в Chrome Web Store. Кодът на всички добавки беше практически идентичен на ниво изходен текст, с изключение на имената на функциите, които в каждой добавка бяха уникални. Преносът на злонамерена логика се осъществяваше от централизирани управляващи сървъри. Първоначално добавката се свързваше с домейн, който има същото име като името на добавката (например Mapstrek.com), след което се пренасочваше към един от управляващите сървъри, които предоставяха сценарий за по-нататъшни действия.

Средствата, които се използват чрез добавките, включват качване на конфиденциални данни на външни сървъри, пренасочване към злонамерени сайтове и насърчаване на инсталирането на зловредни приложения (например, появата на съобщение за инфекция на компютъра с предложение за злонамерен софтуер под формата на антивирус или обновление на браузъра). Сред домейните, към които е имало пренасочване, са различни фишинг домейни и сайтове, които експлоатират остарели браузъри с неотстранени уязвимости (например, след експлоатацията са правени опити за инсталиране на злонамерен софтуер, който прихваща пароли и анализира предаването на конфиденциални данни чрез буфера на клипборда).

Източник: opennet.ru