Istraživači sigurnosti iz tvrtke Secure Annex primijetili su porast popularnosti novog metoda monetizacije pregledničkih ekstenzija, gdje se od korisnika ekstenzija formira distribuirana mreža koja se koristi za scraping (indeksiranje sadržaja web stranica). Sustavi korisnika koriste se kao web-botovi i proxy za preuzimanje sadržaja sa web stranica — instalirana preglednička ekstenzija prima upute za indeksiranje stranica s vanjskog poslužitelja, nakon čega u zasebnom skrivenom iframe-u pokreće preuzimanje traženog sadržaja i prosljeđuje dobivene podatke vanjskom servisu. U katalogu Chrome, Firefox i Edge, primjena ove sheme monetizacije otkrivena je u 245 ekstenzija, u ukupnom broju od 909 tisuća instalacija.
Rad se organizira putem uključivanja u kod pregledničkih ekstenzija otvorene JavaScript biblioteke mellowtel.js, koja se isporučuje pod LGPLv3 licencom. Biblioteku razvija projekt Mellowtel, koji promovira novu platformu za monetizaciju koja se, osim za pregledničke ekstenzije, može koristiti i u aplikacijama temeljenim na Flutter i Electron frameworku. Osnovna ideja platforme je da programeri pregledničkih ekstenzija i aplikacija mogu zarađivati novac ne putem prikazivanja oglasa ili sumnjivih metoda, poput prodaje podataka koji narušavaju privatnost korisnika, nego putem obavljanja zadataka za indeksiranje web sadržaja za obuku AI sustava.
Potražnja AI tvrtki za podacima za obuku modela dovela je do pojave brojnih botova koji indeksiraju web stranice bez razumnog ograničenja intenziteta slanja zahtjeva i ignoriraju pravila indeksiranja robots.txt. Kako ti botovi stvaraju ogromno parazitsko opterećenje na servere, ometaju normalno funkcioniranje sustava i oduzimaju vrijeme administratorima, u posljednje vrijeme se aktivno blokiraju (na primjer, mreža za isporuku sadržaja Cloudflare implementirala je opciju za automatsko blokiranje takvih botova).
AI tvrtke su spremne plaćati za indeksiranje, a platforma Mellowtel nudi mogućnost zadovoljenja ove potrebe uključivanjem običnih korisnika u proces prikupljanja podataka s web stranica. Platforma isplaćuje vlasnicima dodataka 55% sredstava zaraženih od suradnje s AI tvrtkama. Projekt je potpuno legitiman i insistira da sudjelovanje u struganju podataka mora biti dobrovoljno i aktivirati se samo nakon izričitog pristanka korisnika. Korisnik može, kao znak zahvalnosti programerima dodatka, uključiti način struganja i pružiti im neizravnu financijsku podršku.
Problem je što nisu svi programeri dodataka spremni raditi pošteno i otvoreno. U nekim dodacima pokušava se prikriveno uključiti monetizacija Mellowtel bez znanja korisnika, što dovodi do situacije u kojoj korisnik bez izričitog pristanka postaje sudionik distribuirane mreže za preuzimanje podataka s web stranica. Od 45 dodataka za Chrome koji koriste Mellowtel, 12 ih je već blokirao Google zbog zlonamjerne aktivnosti. U katalogu Microsofta od 129 dodataka, 8 ih je blokirano, dok su u katalogu Mozille od 71 dodatka, 2 zablokirana. Razlozi za uklanjanje nisu detaljno objašnjeni, no ne isključuje se mogućnost da je razlog neispravno korištenje Mellowtel.
Developer Mellowtel je izjavio da kako bi riješio problem s mogućim skrivenim uključivanjem struganja podataka, servis prelazi na obveznu provjeru svih dodataka koji koriste Mellowtel, kako bi osigurao da se struganje podataka po defaultu isključuje (aktivacija samo nakon izričitog pristanka korisnika) i postojanje vidljivog gumba za isključivanje. Zahtjevi za dobivanje zadataka od dodataka koji nisu prošli provjeru bit će stavljeni u karantenu i ignorirani.
Tijekom rada dodatka, koji koristi Mellowtel biblioteku, uspostavlja se websocket veza s vanjskim poslužiteljem smještenim u AWS oblaku, preko kojeg se prenose informacije o dostupnosti korisnika, zemlji, propusnosti komunikacijskog kanala i aktivaciji podrške za prikupljanje podataka od strane korisnika. Povremeno se putem veze šalju heartbeat zahtjevi za provjeru dostupnosti klijenta. Kada se pojave zadaci za preuzimanje sadržaja, u stranice koje korisnik pregledava umetne se skriveni iframe iz kojeg se vrši prikupljanje podataka.
Za preuzimanje vanjskih stranica iz iframe-a, koji se umeće prilikom pregledavanja drugih web stranica, biblioteka privremeno zaobilazi zaštitu od učitavanja vanjskog sadržaja koja se pruža u pregledniku, uklanjajući HTTP zaglavlja Content-Security-Policy i X-Frame-Options, a vraćajući ih nakon što je potrebna stranica učitana. Uklanjanje se provodi putem modifikacije mrežnih zahtjeva uz pomoć API-ja declarativeNetRequest (za pristup ovom API-ju, dodatak traži posebnu dozvolu). Privremeno isključivanje zaglavlja Content-Security-Policy i X-Frame-Options negativno utječe na sigurnost, jer na trenutak uklanja uobičajenu zaštitu od napada koristeći međuspletno skriptiranje (XSS).
Mellowtel platforma je povezana s kompanijom Olostep, koja nudi API za prikupljanje podataka sposoban za zaobilaženje zaštite od botova i istovremeno izvršavanje do 100 tisuća zahtjeva u minuti. Sličnu aktivnost usluge, primijenjenu u kontekstu jedne web stranice, može se usporediti s provođenjem distribuiranog DoS napada. Usluga također potencijalno može koristiti korisnike kao proxy za izvlačenje sadržaja iz privatnih web stranica koje su dostupne samo u podmrežama, do kojih korisnik ima pristup putem. VPN.
Izvor: opennet.ru
