A biztonsági kutatók a Secure Annex cégtől észrevették, hogy egyre népszerűbbé válik az új módszer a böngészőbővítmények monetizálására, amely során a bővítmények felhasználóiból egy elosztott hálózat jön létre, amelyet weboldalak tartalmának összegyűjtésére (indexelésére) használnak. A felhasználók rendszerei web-botokként és proxykként működnek a weboldalak tartalmának letöltéséhez – a telepített böngészőbővítmény külső szerverről kapja az indexelési utasításokat, majd egy külön rejtett iframe-ben elindítja a kért tartalom betöltését, és az így kapott adatokat egy külső szolgáltatónak továbbítja. A Chrome, Firefox és Edge katalógusaiban ennek a monetizálási sémának az alkalmazását 245 bővítményben azonosították, összesen 909 ezer telepítéssel.
A munka a böngészőbővítmények kódjába való integrálással szerveződik meg egy nyílt JavaScript könyvtár, a mellowtel.js használatával, amelyet LGPLv3 licenc alatt kínálnak. A könyvtár a Mellowtel projekt által fejlődik, amely egy új monetizálási platformot népszerűsít, amely a böngészőbővítmények mellett a Flutter és Electron keretrendszerekre épülő programokban is alkalmazható. A platform alapvető ötlete az, hogy a böngészőbővítmények és alkalmazások fejlesztői pénzt kereshetnek nem hirdetések megjelenítésével vagy kétes módszerekkel, például felhasználói adatainak eladásával, hanem webtartalom indexelési feladatok elvégzésével az AI-rendszerek képzéséhez.
Az AI-cégek adatigényének a modellek tanításához számos bot megjelenéséhez vezetett, amelyek a weboldalakat ésszerű küszöbértékek figyelmen kívül hagyásával indexelik, figyelmen kívül hagyva a robots.txt indexelési szabályait. Mivel ezek a botok hatalmas parazitaterhelést okoznak, szerverekmegzavarják a rendszerek normális működését és elvonják az adminisztrátorok idejét, azóta aktívan kezdik blokkolni őket (például a Cloudflare tartalomszolgáltató hálózat alapértelmezés szerint bevezette a hasonló botok blokkolási lehetőségét).
Az AI cégek készen állnak az indexelésért való fizetésre, és a Mellowtel platform lehetőséget biztosít arra, hogy ezt a szükségletet kielégítse azzal, hogy a hétköznapi felhasználókat bevonja az adatok weboldalakról való gyűjtésébe. A platform a kiegészítők tulajdonosainak a Mellowtel cégekkel való együttműködésből származó bevételek 55%-át juttatja. A projekt teljesen legális, és hangsúlyozza, hogy a webes adatgyűjtésbe való részvétel önkéntes kell legyen, és csak a felhasználó egyértelmű hozzájárulása után aktiválható. A felhasználó, mint köszönet a kiegészítők fejlesztőinek, aktiválhatja a webes adatgyűjtés módot és közvetett pénzügyi támogatást nyújthat számukra.
A probléma az, hogy nem minden kiegészítő fejlesztő hajlandó tisztességesen és nyíltan dolgozni. Néhány kiegészítőben próbálják a felhasználó tudta nélkül aktiválni a Mellowtel monetizációt, megkerülve a szolgáltatás szabályait, ami ahhoz vezet, hogy a felhasználó egyértelmű hozzájárulása nélkül részt vehet egy elosztott hálózatban az adatok weboldalakról való letöltésére. A 45 Mellowtel-t használó Chrome kiegészítőből 12-t már blokkolt a Google káros tevékenység miatt. A Microsoft katalógusában található 129 kiegészítőből 8-at, míg a Mozilla katalógusában lévő 71 kiegészítőből 2-t blokkoltak. Az eltávolítás okait nem részletezik, de nem zárható ki, hogy a Mellowtel helytelen használata volt a probléma.
A Mellowtel fejlesztője bejelentette, hogy a webes adatgyűjtés esetleges rejtett aktiválásának problémájának megoldása érdekében a szolgáltatás kötelező ellenőrzés alá vonja az összes Mellowtel-t használó kiegészítőt, amely megköveteli a webes adatgyűjtés alapértelmezett letiltását (az aktiválás csak a felhasználó egyértelmű hozzájárulása után történhet) és a letiltásra szolgáló látható gomb meglétét. Azok a kiegészítők, amelyek nem teljesítették az ellenőrzést, karanténba kerülnek, és figyelmen kívül lesznek hagyva.
A kiegészítések működése során, amelyek a Mellowtel könyvtárat használják, websocket-kapcsolatot létesítenek egy külső serverrel, amely az AWS felhőben található, és ezen keresztül továbbítják a felhasználó elérhetőségére, országára, a kapcsolat sávszélességére és a felhasználó scraping támogatásának aktiválására vonatkozó információkat. Időközönként a kapcsolaton keresztül heartbeat-kérések érkeznek, amelyek ellenőrzik az ügyfél elérhetőségét. Amikor tartalomletöltési feladatok merülnek fel, egy rejtett iframe kerül be az éppen megtekintett oldalakba, ahonnan a scraping végrehajtásra kerül.
Az iframe-ből történő külső oldalak betöltése érdekében, amelyet más webhelyek megtekintésekor alkalmaznak, a könyvtár ideiglenesen megkerüli a böngészők által nyújtott harmadik féltől származó tartalom betöltésére vonatkozó védelmet, eltávolítva a Content-Security-Policy és X-Frame-Options HTTP-fejléceit, majd visszaállítva őket, miután a szükséges oldal betöltődött. Az eltávolítás a hálózati kérések API declarativeNetRequest segítségével történik (az API eléréséhez a kiegészítések külön engedélyt kérnek). A Content-Security-Policy és X-Frame-Options fejlécek ideiglenes kikapcsolása negatívan befolyásolja a biztonságot, mivel egy ideig megszünteti a cross-site scripting (XSS) támadásokkal szembeni védelmet.
A Mellowtel platform a web scraping API-t kínáló Olostep céggel áll kapcsolatban, amely képes megkerülni a botvédelmet és párhuzamosan akár 100 ezer kérést is végrehajtani percenként. Az ilyen jellegű tevékenységet, amelyet egy webhely kontextusában alkalmaznak, disztribuált DoS-támadásként lehet jellemezni. A szolgáltatás potenciálisan felhasználók használhatja proxiként, hogy tartalmakat nyerjenek ki privát webhelyekről, amelyek csak olyan alhálózatokban érhetők el, amelyekhez a felhasználó hozzáfér. VPN.
Forrás: opennet.ru
