کشف بیش از 500 افزونه‌ حاوی بدافزار در گوگل کروم

بیش از 500 افزونه که میلیون‌ها بار نیز در فروشگاه افزونه گوگل کروم دانلود شده‌اند، به طور مخفیانه اطلاعات تاریخچه مروگرر افراد را به سرورهای خود ارسال می‌کردند. این افزونه‌ها بخشی از یک پروژه سوءاستفاده و کلاه‌برداری تبلیغاتی بودند که توسط جمیلا کایا کشف شدند. این محقق طی بررسی‌های خود کشف کرد که صدها افزونه در سطح اینترنت، بخشی از یک سوءاستفاده و کلاه‌برداری در تبلیغات هستند. او و محققان بخش امنیت شرکت سسکو، 71 افزونه کروم را که بیش از 1.7 میلیون بار دانلود شده بودند، شناسایی کردند. پس از اینکه این محققان یافته‌های خود را به طور خصوصی به شرکت گوگل ارسال کردند، این شرکت بیش از 430 افزونه دیگر را شناسایی و تمامی آن‌ها را از فروشگاه افزونه خود حذف کرد.

این محققان در بخشی از گزارش خود آورده‌اند:

در موردی که گزارش شده است، سازندگان افزونه‌های مخرب کروم به طور عمد برنامه‌ها را به گونه‌ای ساخته‌اند که عملکرد تبلیغاتی کاربران را دچار مشکل و حریم خصوصی آنها را نقص می‌کند. این کار به منظور اتصال کابران، به معماری فرمان و کنترل و بارگذاری داده‌های اینترنتی کاربران بدون اطلاع  آن‌ها صورت گرفته بود و همچنین این ترفند کاربر را در معرض خطر سوءاستفاده از طریق جریان‌های تبلیغاتی قرار می‌داد. برنامه‌نویسان سعی داشتند از طریق مکانیسم‌هایی، شناسایی کلاه برداری در فروشگاه کروم را دور بزند.

افزونه‌ها بیشتر به عنوان ابزاری برای ارائه خدمات جانبی به کاربران ارائه می شوند و در ازای استفاده کاربر از افزونه مورد نظر تبلیغاتی را به کاربر نمایش می‌دهند. در حقیقت، هر افزونه ابتدا به دامنه‌ای به نام خود متصل می‌شود تا دستورات را از آنجا دریافت کند که این دستور پاک شدن خود افزونه نیز می‌تواند باشد. افزونه‌های مخرب مرورگرها را به یکی از سرورهای کنترل شده دارای رمزگذاری مجدد هدایت می‌کنند تا بتوانند دستورالعمل های اضافی، مکان‌هایی را برای بارگذاری داده‌ها و غیره، دریافت کنند. مرورگرهای آلوده با این افزونه‌ها پس از اینکه داده‌های کاربر را بارگذاری کردند، پیکربندی‌های افزونه را به روز کرده و به حالت ایستای خود بر می‌گردند و این چرخه می تواند ادامه‌دار باشد. بسیاری از تغییر مسیرها در مروگررها به تبلیغاتی برای محصولات الکترونیکی و سایت‌های خرید و فروش قانونی منجر می‌شوند. آنچه این طرح‌ها را مخرب و کلاهبرداری کرده است حجم زیاد تبلیغات بدون اجازه از کاربران و استفاده از تبلیغات برای هدایت مرورگرهای آلوده به سایت‌های مخرب و فیشینگ است. حتی در برخی موارد این افزونه‌های مخرب توانایی مشاهده فایل و متن‌های کپی شده توسط کاربر را نیز داشتند.

حدود 500 افزونه یافت شده که کاملا متفاوت به نظر می‌آمدند، به غیر از نام توابع، تقریباً دارای کدهای منبع یکسان بوده‌اند. گوگل پس از این کشف و حذف افزونه‌های خاطی از محققان بابت گزارش‌هایشان تشکر کرد. این کشف‌ها هفت ماه بعد از اولین باری که یک محقق سندی را مبنی بر اینکه  افزونه‌های مخرب تاریخچه مروگرر افراد را از بیش از 4 میلیون رایانه آلوده شده آپلود می‌کنند، اتفاق افتاد. گزارشی در روزهای گذشته، 71 افزونه مخرب را با اسامی و نام دامنه آن‌ها منتشر کرده است، درحالی که گوگل نام هیچ یک از افزونه‌های مخربی که یافته است را منتشر نکرده است. سیستم‌هایی که این افزو‌ه‌ها را دارا باشند شاهد اعلانی به صورت پاپ‌آپ با نوشته‌ی “این افزونه به طور خودکار از کار افتاده است”  یا اخطاری با مضمون”این افزونه دارای بدافزار است” خواهند بود. کشف افزونه‌های مخرب به کاربران یادآوری می‌کند که باید هنگام نصب این ابزارها محتاط بوده و فقط در صورت بهره‌مندی از قابلیت‌های واقعی از آن‌ها استفاده کنند. همچنین افراد باید مرتباً افزونه‌های ناشناس یا آن‌هایی که استفاده نمی‌کنند را بررسی و حذف کنند.