I ricercatori della sicurezza di Secure Annex hanno notato un aumento della popolarità di un nuovo metodo di monetizzazione delle estensioni del browser, dove gli utenti vengono utilizzati per formare una rete distribuita impiegata nel web scraping (indicizzazione dei contenuti dei siti). I sistemi degli utenti fungono da web bot e proxy per scaricare contenuti dai siti — l'estensione del browser installata riceve istruzioni di indicizzazione da un server esterno, dopo di che attiva il caricamento del contenuto richiesto in un iframe nascosto e invia i dati raccolti a un servizio esterno. Nei cataloghi di Chrome, Firefox ed Edge, questo schema di monetizzazione è stato identificato in 245 estensioni, con un totale di 909.000 installazioni.
Il lavoro si organizza attraverso l'integrazione nel codice di estensioni del browser della libreria JavaScript open source mellowtel.js, fornita con licenza LGPLv3. La libreria è sviluppata dal progetto Mellowtel, che promuove una nuova piattaforma di monetizzazione, utilizzabile non solo in estensioni del browser ma anche in programmi basati su framework come Flutter ed Electron. L'idea principale della piattaforma è che gli sviluppatori di estensioni del browser e applicazioni possano guadagnare senza ricorrere alla pubblicità o a metodi discutibili, come la vendita di dati che compromette la privacy degli utenti, ma offrendo servizi per l'indicizzazione dei contenuti web per l'addestramento dei sistemi AI.
La crescente necessità delle aziende di AI di avere dati per l'addestramento dei modelli ha portato alla nascita di numerosi bot che indicizzano i siti senza un ragionevole limite nell'intensità delle richieste e ignorando le regole di indicizzazione descritte nel file robots.txt. Questi bot creano un'enorme carico parassitario sui server, compromettono il normale funzionamento dei sistemi e rubano tempo agli amministratori; recentemente, sono stati attivamente bloccati (ad esempio, la rete di distribuzione dei contenuti Cloudflare ha implementato di default l'opzione per bloccare tali bot).
Le aziende di intelligenza artificiale sono pronte a pagare per l'indicizzazione e la piattaforma Mellowtel ha offerto la possibilità di soddisfare tale esigenza coinvolgendo normali utenti nel processo di raccolta dati dai siti. La piattaforma trasferisce ai proprietari delle estensioni il 55% dei fondi guadagnati attraverso la collaborazione con le aziende di intelligenza artificiale. Il progetto è completamente legittimo e sottolinea che la partecipazione allo scraping deve essere volontaria e attivarsi solo dopo esplicito consenso dell'utente. Si intende che l'utente, in segno di gratitudine verso gli sviluppatori dell'estensione, può attivare la modalità di scraping e offrire loro un supporto finanziario indiretto.
Il problema è che non tutti gli sviluppatori di estensioni sono pronti a lavorare in modo onesto e trasparente. In alcune estensioni si tenta di attivare in modo occulto la monetizzazione di Mellowtel eludendo le regole del servizio, con il risultato che l'utente, senza un esplicito consenso, diventa parte di una rete distribuita per il download di dati da siti web. Su 45 estensioni per Chrome che utilizzano Mellowtel, 12 sono già state bloccate da Google per attività dannose. Nel catalogo Microsoft, 8 delle 129 estensioni sono state bloccate, e nel catalogo Mozilla, 2 delle 71 estensioni sono state bloccate. Le ragioni della rimozione non sono dettagliate, ma non si esclude che la causa sia un uso improprio di Mellowtel.
Lo sviluppatore di Mellowtel ha dichiarato che, per risolvere il problema del possibile attivazione nascosta del scraping, il servizio passerà a un controllo obbligatorio di tutte le estensioni che utilizzano Mellowtel, per garantire che il scraping sia disattivato per impostazione predefinita (attivazione solo dopo esplicito consenso dell'utente) e che ci sia un pulsante visibile per disattivarlo. Le richieste per ottenere incarichi da estensioni non verificate saranno messe in quarantena e ignorate.
Durante l'uso delle estensioni che utilizzano la libreria Mellowtel, viene stabilita una connessione websocket a un server esterno, ospitato nel cloud AWS, attraverso cui vengono trasmesse informazioni sulla disponibilità dell'utente, il paese, la larghezza di banda e l'attivazione del supporto per lo scraping da parte dell'utente. Periodicamente, attraverso la connessione, vengono inviati richieste heartbeat per verificare la disponibilità del cliente. Quando ci sono incarichi di caricamento dei contenuti, viene inserito un iframe nascosto nelle pagine visualizzate dall'utente, dal quale avviene lo scraping.
Per caricare pagine esterne in iframe durante la visualizzazione di altri siti, la libreria aggira temporaneamente la protezione dal caricamento di contenuti di terze parti fornita dal browser, rimuovendo gli header HTTP Content-Security-Policy e X-Frame-Options e reinserendoli dopo che la pagina richiesta è stata caricata. La rimozione avviene tramite la modifica delle richieste di rete utilizzando l'API declarativeNetRequest (per accedere a questa API, le estensioni richiedono autorizzazioni separate). La disattivazione temporanea degli header Content-Security-Policy e X-Frame-Options influisce negativamente sulla sicurezza, in quanto rimuove per un certo periodo la protezione standard contro attacchi di tipo cross-site scripting (XSS).
La piattaforma Mellowtel è affiliata con Olostep, che offre un'API per lo scraping in grado di bypassare la protezione anti-bot e di eseguire fino a 100.000 richieste al minuto. Tale attività del servizio, applicata nel contesto di un singolo sito, può essere paragonata a un attacco DDoS distribuito. Il servizio potrebbe anche potenzialmente utilizzare gli utenti come proxy per estrarre contenuti da siti privati, accessibili solo da sottoreti a cui l'utente accede tramite VPN.
Fonte: opennet.ru
