גל של תוספות זדוניות בקטלוג Firefox במסווה של Adobe Flash

בספריית ההרחבות של Firefox (AMO) תוקן פרסום המוני של תוספות זדוניות במסווה של פרויקטים ידועים. לדוגמה, הספרייה מכילה תוספות זדוניות "Adobe Flash Player", "ublock origin Pro", "Adblock Flash Player" וכו'.

מכיוון שתוספות כאלה מוסרות מהקטלוג, התוקפים יוצרים מיד חשבון חדש ומפרסמים מחדש את התוספות שלהם. לדוגמה, חשבון נוצר לפני מספר שעות משתמש Firefox 15018635, שמתחתיו נמצאים התוספות "YouTube Adblock", "Ublock plus", "Adblock Plus 2019". ככל הנראה, התיאור של התוספים נוצר כדי להבטיח שהם יופיעו בחלק העליון עבור שאילתות החיפוש "Adobe Flash Player" ו-"Adobe Flash".

לאחר התקנה, תוספות מבקשות הרשאות לגשת לכל הנתונים באתרים שבהם אתה צופה. במהלך הפעולה, מופעל מפתח לוגר, אשר מעביר מידע על מילוי טפסים וקובצי Cookie המותקנים למארח theridgeatdanbury.com. השמות של קובצי התקנת הרחבות הם "adpbe_flash_player-*.xpi" או "player_downloader-*.xpi". קוד הסקריפט בתוך התוספות שונה במקצת, אבל הפעולות הזדוניות שהם מבצעים ברורות ולא נסתרות.

סביר להניח שהמחסור בטכניקות להסתרת פעילות זדונית והקוד הפשוט ביותר מאפשרים לעקוף את המערכת האוטומטית לבדיקה מקדימה של תוספות. יחד עם זאת, לא ברור כיצד הבדיקה האוטומטית התעלמה מעובדת שליחה מפורשת ולא נסתרת של נתונים מהתוסף למארח חיצוני.

הבה נזכיר שלפי מוזילה, הכנסת אימות חתימה דיגיטלית תחסום את התפשטותם של תוספות זדוניות שמרגלות אחרי משתמשים. כמה מפתחי תוספים לא מסכים עם עמדה זו, הם מאמינים שמנגנון אימות חובה באמצעות חתימה דיגיטלית רק יוצר קשיים עבור המפתחים ומוביל להגדלת הזמן שלוקח להביא מהדורות מתקנות למשתמשים, מבלי להשפיע על האבטחה בשום צורה. יש הרבה טריוויאליים ומובנים מאליהם קבלות פנים לעקוף את הבדיקה האוטומטית של תוספות המאפשרות הכנסת קוד זדוני ללא תשומת לב, למשל, על ידי יצירת פעולה תוך כדי תנועה על ידי שרשור של מספר מחרוזות ולאחר מכן ביצוע המחרוזת המתקבלת על ידי קריאת eval. העמדה של מוזילה יורד הסיבה היא שרוב המחברים של תוספות זדוניות עצלנים ולא יפנו לטכניקות כאלה כדי להסתיר פעילות זדונית.

באוקטובר 2017 כלל קטלוג AMO הוצג תהליך סקירת תוסף חדש. האימות הידני הוחלף בתהליך אוטומטי, שביטל המתנה ארוכה בתור לאימות והגביר את מהירות המסירה של מהדורות חדשות למשתמשים. יחד עם זאת, האימות הידני אינו בוטל לחלוטין, אלא מתבצע באופן סלקטיבי עבור תוספות שכבר פורסמו. תוספות לסקירה ידנית נבחרות על סמך גורמי סיכון מחושבים.

מקור: OpenNet.ru