Actualizarea Chrome întărește controlul asupra extensiilor

Începând cu versiunea 25 a Google Chrome, extensiile de browser instalate offline de alte aplicații nu vor fi activate până când utilizatorii nu își acordă permisiunea printr-o casetă de dialog din interfața browserului. dezvoltatorii momentului au mai multe opțiuni pentru a instala extensii offline - fără a utiliza interfața browser-ului - în Google Chrome for Windows. Unul dintre acestea implică adăugarea de intrări speciale în registrul Windows care îi spun că o nouă extensie a fost instalată și ar trebui activată.

"Această caracteristică a fost inițial destinată să permită utilizatorilor să se înscrie în adăugarea unei extensii utile în Chrome ca o parte a instalării unei alte aplicații ", a declarat Peter Ludwig, manager de produs Google al extensiilor Chrome, într-o postare pe blog. "Din păcate, această caracteristică a fost abuzată pe scară largă de terțe părți pentru a instala în mod extensiv extensii în Chrome, fără o confirmare adecvată din partea utilizatorilor."

[Citirea suplimentară: Cum să eliminați programele malware de pe PC-ul Windows]

de abuz, începând cu Chrome 25, browserul va dezactiva automat toate extensiile "externe" instalate anterior și va prezenta utilizatorilor o casetă de dialog unică pentru a alege pe care doresc să le reactiveze.

În plus, toate extensiile care sunt instalate folosind metodele offline, vor fi dezactivate în mod implicit și utilizatorul va fi întrebat dacă dorește să le acționeze când browserul este repornit.

Mozilla a implementat un mecanism foarte similar cu peste un an în Firefox pentru a preveni extensiile instalate offline prin alte programe să fie activate fără confirmarea utilizatorului.

Preocupările legate de securitate

Multe atacuri au utilizat extensii de browser malware, inclusiv extensiile Chrome. De exemplu, în luna mai, Fundația Wikimedia a emis o alertă despre o extensie Google Chrome care introducea anunțuri necinstite în paginile Wikipedia.

În iulie, Google a încetat să permită instalarea extensiilor Chrome de pe site-uri web ale unor terțe părți, la extensiile găsite în Magazinul web oficial Chrome

Acest lucru a făcut mai greu ca atacatorii să distribuie extensii rău intenționate, dar nu a împiedicat malware-ul să instaleze extensii Chrome exagerate într-un sistem deja compromis, folosind metodele offline. Modificările viitoare ale Chrome 25 urmăresc să răspundă la aceasta.

"Cred că este un pas bun în direcția cea bună, ceea ce reprezintă o experiență mai sigură de navigare", a declarat Zoltan Balazs, cercetător în domeniul securității IT din Ungaria. Balazs a creat anterior extensii malware de tip proof-of-concept pentru Firefox, Chrome și Safari, pentru a demonstra cât de puternice asemenea instrumente pot fi în mâinile atacatorilor.

Cercetarea lui Balazs, prezentată la mai multe conferințe de securitate în acest an, modul în care extensiile browser-ului neregulat controlate de la distanță pot modifica conținutul paginilor Web, pot face fotografii prin intermediul camerei web a calculatorului, pot acționa ca un proxy HTTP invers în rețeaua internă, pot descărca, încărca și executa fișiere, pot fi utilizate pentru spargerea hash parola distribuită și multe altele.

Chiar dacă modificările viitoare în Chrome 25 vor face viața mai dificilă pentru atacatori, o bucată de malware ar putea înlocui totuși întreaga instalare Chrome cu una din spate, a spus Balazs. El a subliniat primul din "10 legi imuabile de securitate", publicat de Microsoft, care spune: "Dacă un tip rău vă poate convinge să-i rulați programul pe computerul dvs., nu mai este calculatorul dvs.", când Google a interzis instalările de extensii Chrome de la site-uri web ale unor terțe părți, compania a mai spus că va începe să analizeze toate extensiile listate în Magazinul web Chrome pentru comportament rău intenționat și va elimina pe cele care le ofensează.

Feriți-vă de înșelătorii

Cu toate acestea, extensiile malitioase au fost găsite în Magazinul web Chrome de mai multe ori de atunci, sugerând că mecanismul Google de scanare a extensiilor și de revizuire poate fi bypassed. Pe 30 august, cercetătorii de la Barracuda Networks au avertizat că escrocii Facebook au reușit să înșele peste 90.000 de utilizatori pentru a instala mai multe extensii Chrome rău intenționate găzduite în Magazinul web Chrome înainte ca aceste extensii să fie eliminate de Google.

A alerga din 20 decembrie de la Facecrooks care monitorizează amenințările de pe Facebook, a avertizat despre o înșelătorie care a înșelat utilizatorii să instaleze o extensie Chrome exagerată susținând că schimba schema de culori a profilului lor de pe Facebook.

Potrivit lui Balazs, faptul că dezvoltatorii de extensii malware reușesc să ocolească Webul Chrome Sistemele de detectare a malware-ului nu sunt surprinzătoare.

Este foarte ușor să obligeți codul JavaScript sau să ascundeți funcțiile malware în alte funcții non-malware sau să creați extensii non-malware și să adăugați funcții rău intenționate într-o actualizare. "Este același joc de pisici și mouse-uri pe care îl vedem între dezvoltatorii malware și industria AV."

"Google este standardul de securitate atunci când vine vorba de securitatea extensiei browserului", a spus Balazs. Cu toate acestea, un mare pas înainte pentru Google ar fi să dezactivați vechea plugin-ul NPAPI (Netscape Plugin Application Programming Interface) - acum este dezactivat în Chrome pentru Windows 8 Metro și Chromebook - și să promovați arhitectura Native Client mai sigură și mai puțin sigură, a spus el.