111 Chrome अॅड-ऑन 32 दशलक्ष वेळा डाउनलोड केलेले संवेदनशील डेटा डाउनलोड करत असल्याचे आढळले

जागृत सुरक्षा कंपनी नोंदवले ओळखण्याबद्दल 111 अॅड-ऑन Google Chrome ला, बाह्य सर्व्हरवर गोपनीय वापरकर्ता डेटा पाठवत आहे. अॅड-ऑन्सना स्क्रीनशॉट्स घेणे, क्लिपबोर्डची सामग्री वाचणे, कुकीजमधील ऍक्सेस टोकनच्या उपस्थितीचे विश्लेषण करणे आणि वेब फॉर्ममधील इनपुटमध्ये अडथळा आणणे देखील होते. एकूण, ओळखले गेलेले दुर्भावनापूर्ण अॅड-ऑन Chrome वेब स्टोअरमध्ये एकूण 32.9 दशलक्ष डाउनलोड झाले आणि सर्वात लोकप्रिय (शोध व्यवस्थापक) 10 दशलक्ष वेळा डाउनलोड केले गेले आणि 22 हजार पुनरावलोकनांचा समावेश आहे.

असे गृहित धरले जाते की सर्व विचारात घेतलेल्या जोडण्या हल्लेखोरांच्या एका संघाने तयार केल्या होत्या, कारण एकूणच वापरले गोपनीय डेटा, तसेच सामान्य डिझाइन घटक आणि पुनरावृत्ती कोडचे वितरण आणि व्यवस्थापित करण्यासाठी एक विशिष्ट योजना. 79 अॅड-ऑन दुर्भावनायुक्त कोडसह Chrome स्टोअर कॅटलॉगमध्ये ठेवले होते आणि दुर्भावनापूर्ण क्रियाकलापांबद्दल सूचना पाठवल्यानंतर आधीच हटवले गेले होते. बर्‍याच दुर्भावनापूर्ण अॅड-ऑन्सनी विविध लोकप्रिय अॅड-ऑनची कार्यक्षमता कॉपी केली आहे, ज्यामध्ये अतिरिक्त ब्राउझर सुरक्षा प्रदान करणे, शोध गोपनीयता वाढवणे, PDF रूपांतरण आणि स्वरूप रूपांतरण यांचा समावेश आहे.

अॅड-ऑन डेव्हलपर्सने प्रथम Chrome स्टोअरमध्ये दुर्भावनायुक्त कोडशिवाय स्वच्छ आवृत्ती पोस्ट केली, पीअर पुनरावलोकन केले आणि नंतर इंस्टॉलेशननंतर दुर्भावनापूर्ण कोड लोड केलेल्या अद्यतनांपैकी एकामध्ये बदल जोडले. दुर्भावनायुक्त क्रियाकलापांचे ट्रेस लपविण्यासाठी, निवडक प्रतिसाद तंत्र देखील वापरले गेले - पहिल्या विनंतीने दुर्भावनापूर्ण डाउनलोड परत केले आणि त्यानंतरच्या विनंत्या संशयास्पद डेटा परत केल्या.

दुर्भावनापूर्ण अॅड-ऑन्स पसरवण्याचे मुख्य मार्ग म्हणजे व्यावसायिक दिसणार्‍या साइट्सचा प्रचार (खालील चित्राप्रमाणे) आणि Chrome वेब स्टोअरमध्ये प्लेसमेंट, बाह्य साइटवरून कोड त्यानंतरच्या डाउनलोडसाठी पडताळणी यंत्रणांना मागे टाकून. केवळ Chrome वेब स्टोअर वरून अॅड-ऑन स्थापित करण्यावरील निर्बंधांना बायपास करण्यासाठी, आक्रमणकर्त्यांनी पूर्व-स्थापित अॅड-ऑनसह Chromium चे वेगळे असेंब्ली वितरीत केले आणि सिस्टममध्ये आधीपासून असलेल्या जाहिरात अनुप्रयोगांद्वारे (Adware) स्थापित केले. संशोधकांनी वित्तीय, मीडिया, वैद्यकीय, फार्मास्युटिकल, तेल आणि वायू आणि व्यापार कंपन्या, तसेच शैक्षणिक आणि सरकारी संस्थांच्या 100 नेटवर्कचे विश्लेषण केले आणि त्यापैकी जवळजवळ सर्वांमध्ये दुर्भावनापूर्ण अॅड-ऑनच्या उपस्थितीचे ट्रेस आढळले.

दुर्भावनायुक्त ऍड-ऑन वितरीत करण्याच्या मोहिमेदरम्यान, पेक्षा जास्त 15 हजार डोमेन, लोकप्रिय साइट्सना छेदणारे (उदाहरणार्थ, gmail.com, youtubeunblocked.net, इ.) किंवा पूर्वी अस्तित्वात असलेल्या डोमेनसाठी नूतनीकरण कालावधी संपल्यानंतर नोंदणीकृत. ही डोमेन दुर्भावनापूर्ण क्रियाकलाप व्यवस्थापन इन्फ्रास्ट्रक्चरमध्ये आणि वापरकर्त्याने उघडलेल्या पृष्ठांच्या संदर्भात निष्पादित केलेली दुर्भावनापूर्ण JavaScript इन्सर्ट डाउनलोड करण्यासाठी देखील वापरली गेली.

संशोधकांना गॅलकॉम डोमेन रजिस्ट्रारसह कट रचल्याचा संशय आहे, ज्यामध्ये दुर्भावनापूर्ण क्रियाकलापांसाठी 15 हजार डोमेन नोंदणीकृत आहेत (या रजिस्ट्रारद्वारे जारी केलेल्या सर्व डोमेनपैकी 60%), परंतु गॅलकॉमचे प्रतिनिधी खंडन केले या गृहितकांनी सूचित केले आहे की सूचीबद्ध डोमेनपैकी 25% आधीच हटविली गेली आहेत किंवा Galcomm द्वारे जारी केलेली नाहीत आणि उर्वरित, जवळजवळ सर्व निष्क्रिय पार्क केलेली डोमेन आहेत. Galcomm च्या प्रतिनिधींनी असेही नोंदवले की अहवालाच्या सार्वजनिक प्रकटीकरणापूर्वी कोणीही त्यांच्याशी संपर्क साधला नाही आणि त्यांना तृतीय पक्षाकडून दुर्भावनापूर्ण हेतूंसाठी वापरल्या जाणार्‍या डोमेनची यादी मिळाली आणि आता ते त्यांचे विश्लेषण करत आहेत.

समस्या ओळखणाऱ्या संशोधकांनी दुर्भावनायुक्त अॅड-ऑनची तुलना नवीन रूटकिटशी केली - अनेक वापरकर्त्यांची मुख्य क्रिया ब्राउझरद्वारे केली जाते, ज्याद्वारे ते सामायिक दस्तऐवज संचयन, कॉर्पोरेट माहिती प्रणाली आणि आर्थिक सेवांमध्ये प्रवेश करतात. अशा परिस्थितीत, संपूर्ण रूटकिट स्थापित करण्यासाठी आक्रमणकर्त्यांनी ऑपरेटिंग सिस्टमशी पूर्णपणे तडजोड करण्याचे मार्ग शोधण्यात काही अर्थ नाही - दुर्भावनापूर्ण ब्राउझर अॅड-ऑन स्थापित करणे आणि गोपनीय डेटाचा प्रवाह नियंत्रित करणे खूप सोपे आहे. ते ट्रान्झिट डेटाचे निरीक्षण करण्याव्यतिरिक्त, अॅड-ऑन स्थानिक डेटा, वेब कॅमेरा किंवा स्थानामध्ये प्रवेश करण्यासाठी परवानगीची विनंती करू शकते. सराव दर्शविल्याप्रमाणे, बहुतेक वापरकर्ते विनंती केलेल्या परवानग्यांकडे लक्ष देत नाहीत आणि 80 लोकप्रिय अॅड-ऑन्सपैकी 1000% सर्व प्रक्रिया केलेल्या पृष्ठांच्या डेटामध्ये प्रवेश करण्याची विनंती करतात.

स्त्रोत: opennet.ru