Secure Annex Firma Secure Annex zidentyfikowała sieć 57 rozszerzeń przeglądarki, wiele dystrybuowanych nietradycyjnie, które potencjalnie ujawniło prawie 6 milionów użytkowników na znaczące ryzyko bezpieczeństwa, takie jak kradzież cookie i śledzenie wszechobecne. Target=”_ puste”> Ustalenia, szczegółowo opisane przez badacza Johna Tucknera , wynikają z dochodzenia w sprawie „nienotowanych” rozszerzeń chromu odkrytych podczas przeglądu klienta. Niepublikowane rozszerzenia nie można odkryć za pomocą standardowych wyszukiwań w sklepie internetowym Chrome i wymagają bezpośredniego adresu URL do instalacji, metody czasami wykorzystywanej do dystrybucji potencjalnie niepożądanego lub złośliwego oprogramowania pod radarem.
Wspólnym elementem wielu rozszerzeń było komunikacja z domenami unknow.com , sugerując skoordynowaną strukturę poleceń i control. Tuckner zauważył, że chociaż wykluczanie bezpośrednich danych nie zaobserwowano podczas ich analizy, możliwości rozszerzeń i wykorzystanie zaciemnionego kodu silnie wskazywały na potencjał oprogramowania szpiegowskim. Możliwość kradzieży sesji plików cookie jest szczególnie niepokojąca, ponieważ może umożliwić atakującym na ominięcie uwierzytelniania wieloskładnikowego i konta porwania.
Wzór wyzwań związanych z bezpieczeństwem przedłużenia
Odkrycie podkreśla bieżące problemy bezpieczeństwa w ekosystemach rozszerzenia przeglądarki. Skala problemu została szczegółowo opisana w 2024 r. W badaniu, w którym stwierdzono znaczące niedociągnięcia bezpieczeństwa w Chrome Web Store, prowadzone przez naukowców z Uniwersytetu Stanforda i Centrum Helmholtz Centrum Informacji.
ich
Badanie akademickie zidentyfikowało wspólne problemy, w tym ryzyko, w tym tendencję do ponownego wykorzystania kodu publicznego, które mogą rozmnażać się z kodami bezpieczeństwa, a braku aktualizacji-około 60%, w tym w 60%. Rozszerzenia nigdy nie otrzymały. To zaniedbanie pozwala na utrzymanie luk; Naukowcy stwierdzili, że połowa znanych wrażliwych rozszerzeń pozostała dostępna dwa lata po wykluczeniu. Ponadto dochodzenie stwierdzono, że „oceny użytkowników nie wskazują skutecznie bezpieczeństwa rozszerzeń. Złośliwe i łagodne rozszerzenia często otrzymywały podobne oceny”, sugerując, że użytkownicy nie mogą łatwo rozpoznać bezpiecznych dodatków od ryzykownych w oparciu o opinie społeczności. Naukowcy zalecili ulepszone monitorowanie przez Google, w tym praktyki takie jak „wykrywanie podobieństw kodu” i „oznaczanie rozszerzeń za pomocą przestarzałych bibliotek.” Problematyczne rozszerzenia często pozostawione przed usunięciem. Badanie Stanford/CISPA wykazało, że złośliwe oprogramowanie zwykle utrzymywało się przez około 380 dni, podczas gdy wrażliwe przedłużenia wyniosły alarmujące 1248 dni. Przedstawioną ilustracją była rozszerzenie „Teleapp”, które było dostępne przez 8,5 lat, zanim zidentyfikowano zawartość złośliwego oprogramowania. Po raporcie Secure Annex na początku tego roku Google został powiadomiony i podobno zbadany, usuwając niektóre, ale nie wszystkie zidentyfikowane rozszerzenia. Przyznając wyzwania, Google utrzymuje, że aktywne zagrożenia reprezentują niewielką część ogólnej aktywności. Benjamin Ackerman, Anunoy Ghosh i David Warren z zespołu bezpieczeństwa Chrome Google napisali 2024 w
Odpowiadając specjalnie na badania Stanford/Cispy za pośrednictwem
Opóźnione wykrywanie i reakcję platformy