Xakep #305. Многошаговые SQL-инъекции
Специалисты Google удалили из Chrome Web Store два расширения для блокировки рекламы, так как те были пойманы на сборе пользовательских данных. Речь идет о Nano Adblocker и Nano Defender, и на момент закрытия у первого расширения было более 50 000 установок, а у второго около 200 000.
Вредоносный код для сбора данных был добавлен в расширения в начале октября 2020 года, когда автор Nano Adblocker и Nano Defender продал оба расширения некой «команде турецких разработчиков». Интересно, что новые владельцы даже не стали менять имя автора, явно пытаясь скрыть факт продажи, чтобы истинную причину появления вредоносного кода было сложнее обнаружить.
Однако после продажи многие пользователи, в числе которых был и создатель блокировщика uBlock Origin Раймонд Хилл, обнаружили, что поведение расширений изменилось отнюдь не в лучшую сторону.
«Теперь расширение предназначено для поиска [sic] конкретной информации из исходящих сетевых запросов, в соответствии с настраиваемой извне эвристикой, и отправки этих данных на https://def.dev-nano[.]com», — писал Хилл.
После дальнейшего анализа было установлено, что вредоносный код собирает следующую информацию о пользователях:
- IP-адрес;
- страна
- данные об ОС;
- URL-адреса посещенных сайтов;
- Временные метки для веб-запросов;
- HTTP-методы (POST, GET, HEAD и так далее);
- размер HTTP-ответов;
- коды состояния HTTP
- время, проведенное на каждой веб-странице;
- прочие URL-адреса, по которым кликнули на странице.
Когда турецких разработчиков призвали к ответу на GitHub, те уступили перед давлением общественности и создали специальную страницу с политикой конфиденциальности, где попытались узаконить свою малварь и рассказать пользователям о сборе данных. В итоге это лишь упростило работу специалистов Google, так как правилами Chrome Web Store сбор пользовательских данных запрещен практически в любом виде.
В настоящее время оба расширения удалены и отключены в пользовательских браузерах Chrome.
Стоит отметить, что версии Nano Adblocker и Nano Defender для Firefox не содержат и никогда не содержали малвари, поскольку не участвовали в продаже и вообще управляются другим разработчиком.
