Adobe Flash로 위장한 Firefox 카탈로그의 악성 추가 기능 물결

Firefox 부가 기능 디렉토리(모어) 결정된 잘 알려진 프로젝트로 위장한 악성 애드온을 대량으로 게시하는 행위. 예를 들어, 디렉토리에는 악성 추가 기능인 "Adobe Flash Player", "ublock Origin Pro", "Adblock Flash Player" 등이 포함되어 있습니다.

이러한 추가 기능이 카탈로그에서 제거되면 공격자는 즉시 새 계정을 만들고 추가 기능을 다시 게시합니다. 예를 들어 몇 시간 전에 계정이 생성되었습니다. Firefox 사용자 15018635, 그 아래에 "Youtube Adblock", "Ublock plus", "Adblock Plus 2019" 추가 기능이 있습니다. 분명히 추가 기능에 대한 설명은 검색어 "Adobe Flash Player" 및 "Adobe Flash"에 대해 상단에 표시되도록 구성되었습니다.

추가 기능이 설치되면 현재 보고 있는 사이트의 모든 데이터에 액세스할 수 있는 권한을 요청합니다. 작동 중에 양식 작성 및 설치된 쿠키에 대한 정보를 호스트 theridgeatdanbury.com에 전송하는 키로거가 실행됩니다. 애드온 설치 파일의 이름은 "adpbe_flash_player-*.xpi" 또는 "player_downloader-*.xpi"입니다. 애드온 내부의 스크립트 코드는 약간 다르지만 이들이 수행하는 악의적인 행위는 명백하고 숨겨져 있지 않습니다.

악성 활동을 숨기는 기술이 부족하고 코드가 매우 단순하기 때문에 추가 기능의 사전 검토를 위한 자동화 시스템을 우회하는 것이 가능할 가능성이 높습니다. 동시에 자동 검사가 추가 기능에서 외부 호스트로 데이터를 숨기지 않고 명시적으로 전송한다는 사실을 어떻게 무시했는지는 확실하지 않습니다.

Mozilla에 따르면 디지털 서명 확인 기능을 도입하면 사용자를 감시하는 악성 추가 기능의 확산이 차단될 것이라고 합니다. 일부 애드온 개발자 동의하지 않습니다 이 입장에서 그들은 디지털 서명을 사용하는 필수 검증 메커니즘이 개발자에게 어려움을 초래할 뿐이며 어떤 식으로든 보안에 영향을 주지 않고 사용자에게 수정 릴리스를 제공하는 데 걸리는 시간이 증가한다고 믿습니다. 사소하고 뻔한 일이 많아 기법 예를 들어 여러 문자열을 연결하여 즉시 작업을 생성한 다음 eval을 호출하여 결과 문자열을 실행하는 등 악성 코드가 눈에 띄지 않게 삽입되도록 허용하는 추가 기능에 대한 자동화된 검사를 우회합니다. 모질라의 입장 내려온다 그 이유는 대부분의 악성 추가 기능 작성자가 게으르고 악의적인 활동을 숨기기 위해 이러한 기술에 의존하지 않기 때문입니다.

2017년 XNUMX월 AMO 카탈로그에 포함됨 소개 새로운 보충 검토 프로세스. 수동 검증은 자동 프로세스로 대체되어 검증 대기열에서 오랜 대기 시간을 없애고 사용자에게 새 릴리스를 전달하는 속도를 높였습니다. 동시에, 수동검증은 완전히 폐지되지 않고, 이미 게시된 추가사항에 대해 선별적으로 실시됩니다. 수동 검토를 위한 추가 항목은 계산된 위험 요소를 기반으로 선택됩니다.

출처 : opennet.ru