В 5 браузерных дополнениях и 6 мобильных приложениях обнаружен шпионящий код

Konstant213

Пользователь
Сообщения
62
Реакции
71
Баллы
28
Разработчики блокировщика рекламы AdGuard сообщили о выявлении серии дополнений к Chrome и Firefox, а также мобильных приложений для Android и iOS, в которых скрыто осуществляется отправка сведений персонального характера и информации о посещаемых пользователем ресурсах. Все проблемные дополнения так или иначе связаны с компанией Big Star Labs и имеют аудиторию около 11 млн пользователей.

Примечательно, что выявленные дополнения и приложения с вредоносным кодом относились к категории приложений для блокирования рекламы и нежелательного контента, защиты персональных данных, ускорения загрузки страниц и чистки системы. Из проблемных дополнений можно отметить Block Site (1.6 млн установок), Poper Blocker (2.3 млн установок) и CrxMouse (400 тысяч установок), а среди мобильных приложений Speed BOOSTER (более 5 млн установок), Battery Saver, AppLock | Privacy Protector, Clean Droid, Block Site, Popup Blocker и Adblock Prime (iOS). В настоящее время все проблемные дополнения и приложения уже удалены из каталогов Chrome Web Store, Mozilla AMO, Google Play и Apple Store.

По аналогии с недавно выявленными проблемами в дополнении Stylish, во всех вышеотмеченных приложениях и дополнениях присутствовал код для отправки на внешний сервер информации о всех открываемых пользователем страницах, при том, что в предлагаемом приложениями соглашении о конфиденциальности заявлялось только о возможности сбора обезличенной анонимной статистики. Интересно, что соглашение было оформлено в виде картинки, а не текста, чтобы избежать индексации поисковыми системами.

На деле в процессе работы приложений и дополнений отправлялись полные URL всех открываемых пользователем сайтов, которые могли содержать сессионные ключи и конфиденциальную информацию из заполняемых форм. При передаче данных осуществлялась привязка к специально генерируемому идентификатору пользователя. Для скрытия информации о передаче URL применялось простейшее кодирование методом base64. Сведения отправлялись на хосты api.taskapi.net, api2.poperblocker.com, yourblocksite.com и ben.crxmouse.com.
Для получения расширенных полномочий в мобильных приложениях предлагалось установить профиль Mobile Device Management (MDM), позволяющий полностью контролировать все аспекты работы устройства, перехватывать трафик и читать все пользовательские данные. Также в мобильных приложениях запрашивались полномочия для включения сервиса Accessibility, который позволяет под видом средств для людей с ограниченными возможностями подключить обработчик, перехватывающий весь ввод и вывод информации.

Дополнительно можно отметить инцедент с FireFox-дополнением Pinterest, добавляющем кнопку для быстрого сохранения контента в сервисе Pinterest. Ошибка в оформлении CSS приводила к тому, что вместо отображения пиктограммы сервиса во все формы добавлялась строка из декодированного блока base64. В частности в CSS был указан код "background: #bd081c url(data:image/svg+xml;base64,PH...)", в котором после декодирования блок подставлялся не как inline-изображение, а как URL (ошибка заключается в применении функции "url").

Декодированная из base64 строка попадала во все редактируемые формы, включая комментарии, сообщения в чате, формах с адресами и т.п. Судя по тому, что подставляемый код представляет собой хаотичный набор данных, не видим на странице (подстановку можно заметить только посмотрев код страницы) и не выполняет вредоносных действий проблема вызвана ошибкой, а не злым умыслом. Тем не менее, поиск в Google показывает, что ошибка привела к подстановке кода как минимум на 5 тысяч сайтов. Инцидент продемонстрировал эффективность метода для скрытой подстановки кода на страницы, что делает его интересным для авторов вредоносных дополнений
blocksite_data.jpg
источник: OpenNews: В 5 браузерных дополнениях и 6 мобильных приложениях обнаружен шпионящий код
 
  • Like
Реакции: akok

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
12,335
Реакции
5,960
Баллы
998
Примечательно, что выявленные дополнения и приложения с вредоносным кодом относились к категории приложений для блокирования рекламы и нежелательного контента, защиты
на мой взгляд более примечательно, что про это пишут
Разработчики блокировщика рекламы AdGuard
Программа которая раньше практически была приравнена к вирусным.
 
  • Like
Реакции: akok

wumbo12

Пользователь
Сообщения
237
Реакции
79
Баллы
38
chrome://settings/cleanup -функция поможет очистить вредоносные в расширении, помогает бороться с вирусами и плагинами.
 

Moxito

Пользователь
Сообщения
423
Реакции
48
Баллы
43
в смысле, для хромоногого?
Chrome > Настройки (не думаю что надо говорить про три точки и т.д.) > дополнительные настройки > в самом низу, перед сбросом: Удаление вредоносного ПО с компьютера. Кликаешь - он ищет.
 
Сверху Снизу