Sikkerhedsforskere fra Secure Annex har bemærket en stigende popularitet af en ny metode til monetisering af browserudvidelser, hvor brugere af udvidelserne danner et distribueret netværk, der anvendes til scraping (indeksering af webindhold). Brugernes systemer fungerer som web-bots og proxies til at downloade indhold fra websteder — den installerede browserudvidelse modtager instruktioner til webindeksering fra en ekstern server, hvorefter den i en separat, skjult iframe starter indlæsning af det anmodede indhold og sender de indsamlede data til en ekstern tjeneste. I katalogerne Chrome, Firefox og Edge er denne monetiseringsmetode blevet opdaget i 245 udvidelser, som samlet set har 909.000 installationer.
Arbejdet organiseres ved at integrere den åbne JavaScript-bibliotek mellowtel.js i koden for browserudvidelser, der leveres under LGPLv3-licensen. Biblioteket udvikles af Mellowtel-projektet, der fremmer en ny monetiseringsplatform, som udover browserudvidelser også kan bruges i programmer baseret på Flutter- og Electron-rammerne. Hovedideen med platformen er, at udviklere af browserudvidelser og applikationer kan tjene penge uden at vise annoncer eller bruge tvivlsomme metoder, såsom salg af data, der krænker brugernes privatliv, men ved at udføre opgaver for indeksering af webindhold til træning af AI-systemer.
Behovet for AI-virksomheder for data til at træne modeller har ført til en opblomstring af utallige bots, der indekserer websteder uden rimelige begrænsninger på intensiteten af forespørgslerne og ignorerer reglerne for indeksindeksering robots.txt. Da disse bots skaber en enorm parasitær belastning på servere, forstyrrer den normale drift af systemer og tager tid fra administratorer, begynder de seneste tider at blive aktivt blokeret (for eksempel har Content Delivery Network Cloudflare implementeret en mulighed for som standard at blokere sådanne bots).
AI-virksomheder er klar til at betale for indeksering, og platformen Mellowtel har givet mulighed for at imødekomme et sådant behov ved at involvere almindelige brugere i indsamlingen af data fra hjemmesider. Platformen overfører 55% af de midler, der tjenes gennem samarbejde med AI-virksomheder, til ejere af udvidelser. Projektet er fuldt legalt og insisterer på, at deltagelse i scraping skal være frivillig og kun aktiveres efter klart samtykke fra brugeren. Det forudsættes, at brugeren som tak til udviklerne af udvidelsen kan aktivere scraping-tilstanden og give dem indirekte økonomisk støtte.
Problemet er, at ikke alle udviklere af udvidelser er villige til at arbejde ærligt og åbent. I nogle udvidelser forsøger man skjult at aktivere Mellowtel-monetarisering uden brugerens samtykke, hvilket resulterer i, at brugeren uden klart samtykke bliver en deltager i et distribueret netværk til indhentning af data fra hjemmesider. Af 45 Chrome-udvidelser, der anvender Mellowtel, er 12 allerede blevet blokeret af Google for skadelig aktivitet. I Microsofts katalog er 8 ud af 129 udvidelser blokeret, og i Mozillas katalog er 2 ud af 71 udvidelser blokeret. Årsagerne til de fjernede udvidelser specificeres ikke, men det kan ikke udelukkes, at det skyldes ukorrekt anvendelse af Mellowtel.
Udvikleren af Mellowtel har erklæret, at for at løse problemet med mulig skjult aktivering af scraping, vil tjenesten gå over til obligatorisk kontrol af alle udvidelser, der anvender Mellowtel, for at sikre, at scraping er slået fra som standard (aktivering kun efter klart samtykke fra brugeren) og at der er en synlig knap til at deaktivere det. Anmodninger om at modtage opgaver fra udvidelser, der ikke har bestået kontrollen, vil blive sat i karantæne og ignoreret.
Under arbejdet installerer tilføjelser, der bruger Mellowtel-biblioteket, en websocket-forbindelse til en ekstern server placeret i AWS-skyen, hvor de overfører oplysninger om brugerens tilgængelighed, land, båndbredde og aktivering af skrabningssupport. Regelmæssigt sendes heartbeat-anmodninger gennem forbindelsen for at kontrollere klientens tilgængelighed. Når der er opgaver til indlæsning af indhold, indsættes en skjult iframe på de sider, som brugeren ser, hvorfra skrabningen udføres.
For at indlæse eksterne sider fra den iframe, der indsættes under visning af andre websteder, omgår biblioteket midlertidigt den beskyttelse, som browseren tilbyder mod indlæsning af tredjepartsindhold, ved at fjerne HTTP-headerne Content-Security-Policy og X-Frame-Options og genindføre dem, efter at den nødvendige side er indlæst. Fjernelsen foretages ved at modificere netværksanmodninger ved hjælp af API'en declarativeNetRequest (for adgang til denne API anmodes om en særskilt tilladelse). Den midlertidige deaktivering af headerne Content-Security-Policy og X-Frame-Options påvirker sikkerheden negativt, da det midlertidigt fjerner den almindelige beskyttelse mod angreb ved hjælp af cross-site scripting (XSS).
Mellowtel-platformen er tilknyttet Olostep, som tilbyder et API til skrabning i stand til at omgå botsikkerhed og samtidigt udføre op til 100.000 anmodninger pr. minut. En sådan aktivitet fra tjenesten, anvendt i konteksten af én hjemmeside, kan sammenlignes med at udføre et distribueret DoS-angreb. Tjenesten kan også potentielt udnytte brugere som proxyer til at udtrække indhold fra private websteder, der kun er tilgængelige i subnetværk, som brugeren får adgang til gennem VPN.
Kilde: opennet.ru
