Sumnjive Chrome ekstenzije

Istraživači kompanije Kaspersky otkrili potencijalno opasne dodatke u zvaničnoj prodavnici ekstenzija za Chrome. Evo zašto su opasni i kako da se zaštitite.

Stručnjaci za sajber bezbednost kompanije Kaspersky identifikovali su 57 sumnjivih ekstenzija u zvaničnoj Chrome Web prodavnici, koje koristi više od šest miliona korisnika. Ove ekstenzije su izazvale sumnju jer dozvole koje zahtevaju ne odgovaraju njihovom opisu.

Pored toga, reč je o tzv. "skrivenim" ekstenzijama – ne pojavljuju se u rezultatima pretrage u Chrome Web prodavnici, niti ih indeksiraju pretraživači. Instalacija je moguća isključivo putem direktnog linka.

Zašto su ekstenzije rizične i kako udobnost potkopava bezbednost

Stručnjaci kontinuirao upozoravaju da se dodaci za pregledače ne bi smeli olako instalirati . Iako olakšavaju svakodnevne aktivnosti – kao što su prevođenje sadržaja sajtova ili provera pravopisa – ta "uštedа vremena" često dolazi uz ozbiljne bezbednosne i rizike po privatnost.

Razlog tome je što ekstenzije, da bi pravilno funkcionisale, najčešće zahtevaju pristup kompletnom sadržaju koji korisnik prikazuje u pretraživaču. Čak i legitimne ekstenzije poput Google Translate-a traže dozvolu da „čitaju i menjaju sve podatke na svim sajtovima“ koje posećujete. To znači da mogu ne samo da prate sve vaše aktivnosti, već i da menjaju prikazane informacije – na primer, da zamene originalni tekst prevodom. Zlonamerna ekstenzija, sa istim ovlašćenjima, može naneti ozbiljnu štetu.

Problem je u tome što većina korisnika nije svesna potencijalnih opasnosti koje ekstenzije nose. Dok se izvršni fajlovi (npr. .exe) sa nepouzdanih izvora smatraju rizičnim, ekstenzije iz zvaničnih prodavnica često neopravdano uživaju poverenje.

Previše nepotrebnih dozvola

Kod 57 sumnjivih ekstenzija, osnovni indikator zlonamernosti bila je lista širokih dozvola koje traže, uključujući pristup kolačićima – čak i onima za autentifikaciju.

U praksi to napadačima omogućava krađu tzv. sesijskih kolačića, koji se koriste za prepoznavanje korisnika bez potrebe za ponovnim unosom lozinke. Korišćenjem ovih kolačića, napadači mogu pristupiti korisničkim nalozima na društvenim mrežama, online prodavnicama i drugim servisima.

Ekstenzija Browser Checkup for Chrome by Doctor jedna je od sumnjivih ekstenzija koje se lažno predstavljaju kao „antivirus“ za pregledač. 

Pored toga, ove ekstenzije dobijaju niz dodatnih mogućnosti, kao što su:

Praćenje aktivnosti korisnika u pretraživaču

Promena podrazumevanog pretraživača i manipulacija rezultatima pretrage

Umetanje i izvršavanje skripti na posećenim stranicama

Daljinsko aktiviranje naprednog praćenja korisnika

Kako je istraga počela

Istraživač sajber bezbednosti Džon Takner je analizirao kod ekstenzije pod nazivom Fire Shield Extension Protection. Na nju je naišao jer je bila objavljena kao skrivena – nije se pojavljivala u pretrazi, već je bila dostupna isključivo putem direktnog linka u Chrome Web Store.

Skrivene ekstenzije u zvaničnim prodavnicama nisu retkost. Velike platforme omogućavaju developerima da ih sakriju od šire javnosti, najčešće radi interne upotrebe u kompanijama ili u slučaju da je reč o proizvodima u fazi testiranja.

Međutim, ni jedno ni drugo nije moglo da objasni postojanje preko 300.000 korisnika Fire Shield-a. Takođe, opis funkcionalnosti nije odgovarao korporativnom alatu – navodilo se da ekstenzija proverava dozvole drugih instaliranih ekstenzija i upozorava korisnika na nesigurne.

Sumnjive ekstenzije sa po 200 do 300 hiljada korisnika svaka. 

Pored toga, funkcije dodatka nisu odgovarale profilu vrlo specijalizovanog korporativnog rešenja: opis je rekao da Fire Shield proverava dozvole koje traže druge instalirane ekstenzije i upozorava na nesigurne dodatke.

Za takvu funkciju bila bi dovoljna dozvola za korišćenje chrome.management API-ja. Umesto toga, Fire Shield je tražila mnogo šira ovlašćenja, koja se u većem delu poklapaju sa spornim pravima drugih sumnjivih dodataka.

Sumnjivi dodatak traži previše dozvola — uključujući pristup svim sajtovima, kolačićima i aktivnosti korisnika. Izvor

57 ekstenzija maskiranih kao korisni alati

Analizom koda Fire Shield-a, Takner je došao do domena unknow[.]com (očit tipfeler reči „unknown“) – što je klasičan trik sajber prevaranata. Daljom analizom, uz pomoć specijalizovanih alata, identifikovao je još 35 srodnih ekstenzija, koje su delile isti domen i tražile slična široka prava pristupa.

Koristeći poseban alat, Tuckner je pronašao još 35 ekstenzija povezanih sa istim sumnjivim domenom. Nazivi tih ekstenzija takođe su imali mnogo zajedničkog, što je potvrdilo njihovu povezanost. Sve su tražile široka prava pristupa koja nisu odgovarala opisu koji su navele.

Ekstenzije povezane sa domenom unknow[.]com, koje su pokrenule istragu Džona Taknera. 

Većina njih imala je uobičajene opise poput: blokiranje reklama, poboljšanje pretrage, zaštita privatnosti. Međutim, mnogima je nedostajao stvarni kod koji bi podržao te funkcionalnosti. Neke su dolazile od istih kompanija, što je dodatno pojačalo sumnju.

Naknadnim istraživanjem otkriveno je još 22 sumnjive ekstenzije, od kojih su neke bile javno dostupne (nisu skrivene). Kompletna lista skrivenih dodataka sa najviše preuzimanja sledi:

Fire Shield Extension Protection – 300.000 korisnika

Total Safety for Chrome – 300.000 korisnika

Protecto for Chrome – 200.000 korisnika

Securify for Chrome – 200.000 korisnika

Choose Your Chrome Tools – 200.000 korisnika

Zaključak

Sve ukazuje na to da autori ovih dodataka pokušavaju da prikriju svoju aktivnost kako bi izbegli otkrivanje od strane moderatora Chrome Web prodavnice. Distribucija se često vrši putem reklama u pretrazi ili zlonamernih sajtova.

Istraživači kompanije Kaspersky nisu pronašli dokaze da su sumnjive ekstenzije krale lozinke ili kolačiće korisnika. Nakon detaljne analize koda i niza testova, zaključili su da se napredno praćenje aktivnosti korisnika ne aktivira odmah nakon instalacije, već sa određenim vremenskim odlaganjem i to na osnovu komande sa udaljenog servera.

Način na koji je kod napisan, mogućnost daljinske kontrole, ponavljajući obrasci ponašanja i ugrađene funkcije ukazuju na to da sve ove ekstenzije pripadaju istoj grupi špijunskog softvera ili programa za krađu podataka.

Preporuke za korisnike:

Proverite da li imate instalirane sumnjive dodatke (videti punu listu).

Instalirajte samo one ekstenzije koje vam zaista trebaju, redovno ih proveravajte i brišite one koje ne koristite.

Na sve uređaje instalirajte pouzdano bezbednosno rešenje koje vas može blagovremeno upozoriti na opasnosti.