Les extensions de navigateur impliquent la construction d'un réseau distribué de scraping pour les bots AI.

Les chercheurs en sécurité de Secure Annex ont observé une augmentation de la popularité d'une nouvelle méthode de monétisation des extensions de navigateur, dans laquelle les utilisateurs d'extensions forment un réseau distribué utilisé pour le scraping (l'indexation du contenu des sites). Les systèmes des utilisateurs sont utilisés comme bots web et proxies pour télécharger le contenu des sites : l'extension de navigateur installée reçoit des instructions d'indexation des sites depuis un serveur externe, puis lance le téléchargement du contenu demandé dans un iframe caché et transmet les données reçues à un service externe. Dans les catalogues Chrome, Firefox et Edge, l'utilisation de ce schéma de monétisation a été identifiée dans 245 extensions, totalisant 909 000 installations.

Le fonctionnement s'organise par l'intégration dans le code des extensions de navigateur d'une bibliothèque JavaScript open source appelée mellowtel.js, fournie sous licence LGPLv3. La bibliothèque est développée par le projet Mellowtel, qui promeut une nouvelle plateforme de monétisation, applicable non seulement aux extensions de navigateur mais également aux programmes basés sur les frameworks Flutter et Electron. L'idée principale de la plateforme est que les développeurs d'extensions de navigateur et d'applications peuvent gagner de l'argent non pas par la diffusion de publicités ou par des méthodes douteuses comme la vente de données qui violent la vie privée des utilisateurs, mais en exécutant des tâches d'indexation de contenu web pour entraîner des systèmes d'IA.

Le besoin des entreprises d'IA en données pour entraîner leurs modèles a conduit à l'émergence de nombreux bots qui indexent des sites sans limite raisonnable de l'intensité des requêtes, ignorant les règles d'indexation de robots.txt. Ces bots créent une charge parasitaire énorme sur serveurs, perturbant le bon fonctionnement des systèmes et prenant du temps aux administrateurs. Récemment, ils ont commencé à être activement bloqués (par exemple, le réseau de diffusion de contenu Cloudflare a mis en place une option pour bloquer ces bots par défaut).

Les entreprises d'IA sont prêtes à payer pour l'indexation, et la plateforme Mellowtel a offert la possibilité de répondre à ce besoin en impliquant les utilisateurs ordinaires dans le processus de collecte de données à partir de sites web. La plateforme reverse 55 % des fonds générés par la collaboration avec les entreprises d'IA aux propriétaires des extensions. Le projet est entièrement légitime et insiste sur le fait que la participation au scraping doit être volontaire et activée uniquement après le consentement explicite de l'utilisateur. Il est sous-entendu que l'utilisateur, en signe de remerciement envers les développeurs de l'extension, peut activer le mode scraping et leur apporter un soutien financier indirect.

Le problème est que tous les développeurs d'extensions ne sont pas prêts à travailler de manière honnête et transparente. Certaines extensions essaient d'activer la monétisation de Mellowtel à l'insu de l'utilisateur, contournant ainsi les règles du service, ce qui fait que l'utilisateur devient participant à un réseau décentralisé pour le téléchargement de données à partir de sites sans son consentement explicite. Parmi 45 extensions Chrome utilisant Mellowtel, 12 ont déjà été bloquées par Google pour activité malveillante. Dans le catalogue de Microsoft, 8 des 129 extensions ont été bloquées, et dans le catalogue de Mozilla, 2 des 71 extensions ont été arrêtées. Les raisons de la suppression ne sont pas détaillées, mais il n'est pas exclu que cela soit dû à un usage incorrect de Mellowtel.

Le développeur de Mellowtel a déclaré que pour résoudre le problème de l'activation potentielle cachée du scraping, le service met en place une vérification obligatoire de toutes les extensions utilisant Mellowtel pour s'assurer que le scraping est désactivé par défaut (activation uniquement après le consentement explicite de l'utilisateur) et qu'un bouton visible pour le désactiver est présent. Les requêtes provenant d'extensions ne passant pas la vérification seront mises en quarantaine et ignorées.

Dans le cadre du fonctionnement des extensions utilisant la bibliothèque Mellowtel, une connexion websocket est établie avec un serveur externe hébergé dans le cloud AWS, à travers lequel des informations sur la disponibilité de l'utilisateur, le pays, la bande passante de la connexion et l'activation de la prise en charge du scraping par l'utilisateur sont transmises. Périodiquement, des requêtes heartbeat sont envoyées via la connexion pour vérifier la disponibilité du client. Lorsqu'il y a des tâches de chargement de contenu dans les pages consultées par l'utilisateur, un iframe caché est inséré, à partir duquel le scraping est effectué.

Pour charger des pages externes depuis l'iframe, ajouté lors de la visite d'autres sites, la bibliothèque contourne temporairement la protection contre le chargement de contenu tiers fournie par le navigateur, en supprimant les en-têtes HTTP Content-Security-Policy et X-Frame-Options, et les rétablit après que la page nécessaire a été chargée. La suppression se fait via la modification des requêtes réseau à l'aide de l'API declarativeNetRequest (pour accéder à cette API, les extensions demandent une autorisation spéciale). La désactivation temporaire des en-têtes Content-Security-Policy et X-Frame-Options affecte négativement la sécurité, car elle retire pendant un certain temps la protection standard contre les attaques par script intersites (XSS).

La plateforme Mellowtel est affiliée à l'entreprise Olostep, qui propose une API de scraping capable de contourner la protection contre les bots et d'effectuer simultanément jusqu'à 100 000 requêtes par minute. Une telle activité de service, appliquée dans le contexte d'un seul site, peut être comparée à la réalisation d'une attaque DoS distribuée. Le service peut également potentiellement utiliser les utilisateurs comme proxy pour extraire du contenu de sites privés, accessibles uniquement dans des sous-réseaux auxquels l'utilisateur a accès via VPN.

Source : opennet.ru