Миллион браузеров под колпаком: расширения-шпионы разгуливают по интернету
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Почти миллион пользователей стали невольными участниками в большом эксперименте с вредоносными браузерными расширениями. Расследование специалиста по безопасности Джона Такнера из Security Annex выявило 245 расширений, которые встраивались в браузеры с благими намерениями — вроде управления закладками или улучшения звука, — но на деле вели двойную жизнь.
Общее у всех этих расширений — библиотека JavaScript под названием MellowTel-js. Она соединялась с сервером Amazon Web Services (AWS), собирала данные о местоположении пользователя, его скорости интернета и состоянии браузера. Более того, она тайно внедряла в просматриваемые страницы скрытые фреймы и грузила сомнительные сайты, выбранные уже по своим интересам. Также эта система отключала важные механизмы браузерной безопасности, обманывала защиту от ботов и использовала интернет-канал пользователя ради собственной выгоды.
За всем этим стоит компания Olostep, которая продаёт себя как поставщика высокопроизводительного инструмента для массового (до 100 тысяч запросов одновременно) сбора данных с сайтов. Покупатель указывает сайт — а программа Olostep через заражённые браузеры качает с него всё, что можно, делая пользователей бесплатными рабами цифровой рудники. Жертвы, разумеется, ни сном ни духом о происходящем.
Разработчики MellowTel и Olostep утверждают, что система не внедряет никакие сторонние рекламные ссылки, не показывает ненужные объявления и не крадёт личные данные. Мол, компании платят только за массовый сбор открытых данных в интернете, а 55% дохода достаётся создателям расширений, — остальное идёт операторам схемы. Тем не менее, эксперты и критики отмечают, что такие технологии могут не только создавать угрозу приватности и защите данных простых пользователей, но и становиться угрозой безопасности для компаний, если заражённый браузер работает внутри корпоративной сети.
По мнению ресурса CyberInsider, подобная архитектура буквально приглашает злоумышленников к злоупотреблениям: ведь трафик, который выглядит «настоящим», может использоваться для обхода даже самых надёжных фильтров и защиты, а браузеры оказываются открыты для несанкционированного доступа к внутренним ресурсам.
Часть опасных расширений уже удалили или почистили, когда их признали вредоносными. Однако многие до сих пор работают и создают угрозу пользователям. Теперь всем настоятельно рекомендуют внимательно проверить список этих расширений и удалить подозрительные из своих браузеров.
PEREC.RU
Основная проблема этого расследования — масштабная ирония эпохи, когда полезные браузерные расширения превращаются в инструменты массового сбора данных. Якобы безопасные утилиты, стоящие у каждого второго пользователя, становятся тайными проводниками для коммерческих и, возможно, криминальных схем по сканированию веб-сайтов.
Отношения между декларируемым и реальным здесь как в комедии: расширение обещает заботиться о ваших закладках, а на деле вычисляет ваш трафик для чужих нужд. Система искусно использует доверие пользователей — вместо традиционной рекламы и допуска, всё делается скрытно, автоматизированно, с завуалированной монетизацией. Официальный комментарий создателя библиотеки ссылается на честность и прозрачность, как будто достаточен один процент разработчикам — остальное прямиком в руки "честных" операторов схемы.
Возникает аллюзия на любые псевдобезопасные схемы в ИТ: пока технические журналисты пишут, что атака — дело рук единичных взломщиков, рынок продолжает кормиться лёгкой добычей в виде данных миллионов обывателей. Расширения внедряют код, манипулируют интернет-каналами, и всё это на фоне публичной беседы о прозрачности и свободе. Замедленная реакция браузерных платформ — скорее цирк с перекидыванием ответственности. Совсем как в старых фильмах: кто-то тихо никого не убил, только собрал сведения – а все остальные хлопают глазами, надеясь, что именно их браузер доживёт до утра.
В сухом остатке: доверие к расширениям, как доверие к аферисту в костюме — вроде выглядит прилично, но стоит проверить, не залезли ли вам в карман. Поэтому реальность в ИТ снова обскакала любую пародию, ирония стала нормой, а ответственность — вашей личной проблемой.
