Hơn 20 triệu người dùng cài đặt chặn quảng cáo độc hại từ Chrome Store

Một nhà nghiên cứu bảo mật đã phát hiện ra năm tiện ích chặn quảng cáo độc hại từ Chrome Store và chúng đã được ít nhất 20 triệu người dùng cài đặt.  Các phần mở rộng độc hại của trình duyệt thường có quyền truy cập vào mọi thứ bạn làm trực tuyến và cho phép kẻ tấn công lấy cắp bất kỳ thông tin nào mà nạn nhân nhập vào trang web họ truy cập, bao gồm mật khẩu, lịch sử duyệt web và chi tiết thẻ tín dụng. Được phát hiện bởi Andrey Meshkov – người đồng sáng lập Adguard, năm tiện ích mở rộng độc hại này được bắt chước làm theo một số Trình chặn quảng cáo hợp pháp, nổi tiếng. Người tạo các tiện ích mở rộng này cũng đã sử dụng các từ khóa phổ biến trong tên và mô tả của chúng để đạt được xếp hạng cao nhất trong kết quả tìm kiếm, dẫn đến khả năng thu hút thêm nhiều người dùng tải chúng xuống. Meshkov nói: “Tất cả những phần mở rộng mà tôi đã đánh dấu là các bản rip đơn giản với một vài dòng mã và một số mã phân tích được thêm vào bởi các tác giả.” Sau khi Meshkov báo cáo những phát hiện của mình cho Google hôm thứ ba, gã khổng lồ công nghệ này đã ngay lập tức xóa tất cả các tiện ích chặn quảng cáo độc hại được đề cập sau đây khỏi Cửa hàng Chrome của mình:

• AdRemover dành cho Google Chrome ™ (+10 triệu người dùng)
• uBlock Plus (+8 triệu người dùng)
• [Fake] Adblock Pro (+2 triệu người dùng)
• HD cho YouTube ™ (+400.000 người dùng)
• Webutation (+30.000 người dùng)

Meshkov đã tải về phần mở rộng ‘AdRemover’ dành cho Chrome và sau khi phân tích nó, ông phát hiện ra rằng mã độc ẩn bên trong phiên bản sửa đổi của jQuery – một thư viện JavaScript nổi tiếng, gửi thông tin về một số trang web mà người dùng truy cập trở lại một máy chủ từ xa. Phần mở rộng độc hại sau đó nhận lệnh từ máy chủ từ xa. Các lệnh được thực hiện trong phần mở rộng ‘trang nền’ và có thể thay đổi hành vi của trình duyệt của bạn theo bất kỳ cách nào. Để tránh bị phát hiện, các lệnh gửi bởi máy chủ từ xa được ẩn bên trong một hình ảnh vô hại. Meshkov nói: “Những lệnh này là các kịch bản được thực hiện trong ngữ cảnh đặc quyền (trang nền của tiện ích mở rộng) và có thể thay đổi hành vi của trình duyệt của bạn theo bất kỳ cách nào.” Meshkov nói: “Về cơ bản, đây là một botnet bao gồm các trình duyệt bị nhiễm phần mở rộng Adblock giả mạo”. “Trình duyệt sẽ làm bất cứ điều gì mà chủ của trung tâm chỉ huy yêu cầu nó làm”. Nhà nghiên cứu cũng đã phân tích các phần mở rộng khác trên Cửa hàng Chrome và tìm thấy bốn tiện ích mở rộng khác sử dụng các chiến thuật tương tự. Vì phần mở rộng của trình duyệt có quyền truy cập vào tất cả các trang web bạn truy cập nên nó có thể thực hiện bất kỳ thao tác mà kẻ tấn công ra lệnh. Vì vậy, bạn nên cài đặt càng ít phần mở rộng càng tốt và nếu có cài đặt thì chỉ từ những công ty bạn tin tưởng.