Вълна от злонамерени добавки в каталога на Firefox, които се крият зад Adobe Flash

В директорията с добавки на Firefox (АМО) фиксирани масово публикуване на злонамерени добавки, маскирани като добре познати проекти. Например, директорията съдържа злонамерени добавки „Adobe Flash Player“, „ublock origin Pro“, „Adblock Flash Player“ и др.

Тъй като такива добавки се премахват от каталога, нападателите незабавно създават нов акаунт и публикуват отново своите добавки. Например, акаунт е създаден преди няколко часа Потребител на Firefox 15018635, под който се намират добавките “Youtube Adblock”, “Ublock plus”, “Adblock Plus 2019”. Очевидно описанието на добавките е формирано, за да се гарантира, че те се показват в горната част за заявките за търсене „Adobe Flash Player“ и „Adobe Flash“.

Когато са инсталирани, добавките искат разрешения за достъп до всички данни на сайтовете, които разглеждате. По време на работа се стартира keylogger, който предава информация за попълване на формуляри и инсталирани бисквитки към хоста theridgeatdanbury.com. Имената на инсталационните файлове на добавките са „adpbe_flash_player-*.xpi“ или „player_downloader-*.xpi“. Кодът на скрипта в добавките е малко по-различен, но злонамерените действия, които извършват, са очевидни и не са скрити.

Вероятно липсата на техники за скриване на злонамерена активност и изключително простият код позволяват да се заобиколи автоматизираната система за предварителен преглед на добавките. В същото време не е ясно как автоматизираната проверка е пренебрегнала факта на изрично, а не скрито изпращане на данни от добавката към външен хост.

Нека припомним, че според Mozilla въвеждането на проверка на цифровия подпис ще блокира разпространението на злонамерени добавки, които шпионират потребителите. Някои разработчици на добавки не се съгласявам с тази позиция те смятат, че механизмът на задължителна проверка с помощта на цифров подпис само създава трудности за разработчиците и води до увеличаване на времето, необходимо за предоставяне на коригиращи версии на потребителите, без това да засяга сигурността по никакъв начин. Има много тривиални и очевидни приеми за заобикаляне на автоматизираната проверка за добавки, които позволяват незабелязано вмъкване на зловреден код, например чрез генериране на операция в движение чрез свързване на няколко низа и след това изпълнение на получения низ чрез извикване на eval. Позицията на Mozilla слиза надолу Причината е, че повечето автори на злонамерени добавки са мързеливи и няма да прибягнат до подобни техники, за да скрият злонамерена дейност.

През октомври 2017 г. е включен каталогът на AMO въведени нов процес на преглед на добавките. Ръчната проверка беше заменена от автоматичен процес, който елиминира дългото чакане в опашката за проверка и увеличи скоростта на доставка на нови версии до потребителите. В същото време ръчната проверка не е напълно премахната, но се извършва избирателно за вече публикувани добавки. Добавките за ръчен преглед се избират въз основа на изчислени рискови фактори.

Източник: opennet.ru