del blocco di una serie di estensioni dannose per il browser Chrome, vittime di milioni di utenti. Nella prima fase, la ricercatrice indipendente Jamila Kaya () e la compagnia Duo Security hanno identificato nel catalogo del Chrome Web Store 71 estensioni dannose. In totale, queste estensioni hanno accumulato oltre 1,7 milioni di installazioni. Dopo aver informato Google del problema, sono state individuate nel catalogo ulteriori 430 estensioni simili, il cui numero di installazioni non viene comunicato.
È notevole che, nonostante l'elevato numero di installazioni, nessuna delle estensioni problematiche abbia ricevuto recensioni da parte degli utenti, il che solleva interrogativi su come siano state installate e su come l'attività dannosa sia rimasta inosservata. Attualmente, tutte le estensioni problematiche sono state rimosse dal Chrome Web Store.
Secondo i ricercatori, l'attività dannosa associata alle estensioni bloccate è in corso dal gennaio 2019, sebbene domini specifici utilizzati per compiere atti dannosi siano stati registrati già nel 2017.
Nella maggior parte dei casi, le estensioni dannose venivano presentate come strumenti per la promozione di prodotti e la partecipazione a servizi pubblicitari (l'utente visualizza la pubblicità e riceve dei compensi). Le estensioni utilizzavano una tecnica di reindirizzamento verso i siti pubblicizzati all'apertura delle pagine, che venivano mostrate in sequenza prima della visualizzazione del sito richiesto.
Tutte le estensioni utilizzavano una tecnica simile per nascondere l'attività dannosa e per eludere i meccanismi di verifica delle estensioni nel Chrome Web Store. Il codice di tutte le estensioni era praticamente identico a livello di codice sorgente, con l'eccezione dei nomi delle funzioni, che erano unici in ogni estensione. Il trasferimento della logica dannosa avveniva tramite server di controllo centralizzati. Inizialmente, l'estensione si collegava a un dominio con lo stesso nome dell'estensione (ad esempio, Mapstrek.com), per poi essere reindirizzata a uno dei server di controllo, che fornivano lo script per le azioni successive.
Tra le azioni eseguite tramite i plugin si menzionano il caricamento di dati riservati dell'utente su server esterni, il reindirizzamento a siti dannosi e la promozione dell'installazione di applicazioni malevole (ad esempio, viene visualizzato un messaggio di infezione del computer e viene proposto software dannoso sotto forma di antivirus o aggiornamento del browser). Tra i domini a cui si è verificato il reindirizzamento figurano vari domini di phishing e siti per sfruttare browser non aggiornati contenenti vulnerabilità non corrette (ad esempio, dopo lo sfruttamento si sono tentate installazioni di software malevolo in grado di intercettare chiavi di accesso e analizzare la trasmissione di dati riservati tramite il copia e incolla).
Fonte: opennet.ru
