दुर्भावनापूर्ण Chrome एक्सटेंशन

सहपाठियों की दर्शक संख्या 71 मिलियन प्रति माह है। एक पूरे के रूप में इंटरनेट दर्शकों के साथ-साथ, हमारे उपयोगकर्ता सामान्य सुरक्षा खतरों के अधीन हैं: फ़िशिंग, वायरस, पासवर्ड का पुन: उपयोग। सामाजिक नेटवर्क के उपयोगकर्ताओं पर हमलों का आर्थिक इंजन, एक नियम के रूप में, स्पैम का प्रसार है। और हालांकि इस तरह के हमले सीधे ओडनोक्लासनिक की भेद्यता का परिणाम नहीं हैं, हम उन्हें मुकाबला करने में रुचि रखते हैं और इसके लिए हम सभी महत्वपूर्ण स्पैम घटनाओं की जांच कर रहे हैं।

पोर्टल उपयोगकर्ताओं के बीच असामान्य गतिविधि को नोटिस करने के बाद एक नए (सफल) स्पैम हमले की एक विशिष्ट जांच शुरू होती है। यह एक ही प्रकार की सामग्री (उदाहरण के लिए, समान साइटों के लिंक), या यहां तक ​​कि समर्थन सेवा के लिए कॉल की संख्या में वृद्धि में सक्रिय सेवाओं में व्यक्तिगत सेवाओं (उदाहरण के लिए, एक तस्वीर अपलोड या खोज सेवा) पर एक बढ़े हुए भार में व्यक्त किया जा सकता है।

जांच के दौरान, हमारे लिए सबसे पहले यह निर्धारित करना महत्वपूर्ण है कि सामाजिक नेटवर्क के भीतर स्पैम कैसे वितरित किया जाता है। अक्सर इस तरह की जांच का परिणाम वायरस से संक्रमित उपकरणों के समूह का पता लगाना है। कभी-कभी उनके द्वारा वितरित किए गए स्पैम के बीच, हम वायरस से लिंक पाते हैं। इसलिए हम वितरण योजना को बहाल करने और इसमें शामिल उपयोगकर्ताओं को खोजने का प्रबंधन करते हैं।

इस तरह के हमलों का एक दिलचस्प विशेष मामला दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन के साथ संक्रमण है। क्रोम के लिए एक्सटेंशन क्रोम में ही और क्रोमियम पर आधारित ब्राउज़र में, उदाहरण के लिए ओपेरा और Yandex.Browser स्थापित किए जा सकते हैं। यही है, वेब के शेर का हिस्सा संभावित रूप से कवर किया गया है। अन्य ब्राउज़रों (फ़ायरफ़ॉक्स, सफारी) के लिए दुर्भावनापूर्ण एक्सटेंशन बहुत कम आम हैं। मैं मान सकता हूं कि उनके मामले में वायरस का विकास इन ब्राउज़रों के अपेक्षाकृत छोटे दर्शकों के कारण लाभ नहीं लाता है।

हम अपने उपयोगकर्ताओं के बीच दुर्भावनापूर्ण एक्सटेंशन के प्रसार की सीमा की भी गणना कर सकते हैं:



हर दिन हम 100-200 हजार संक्रमित उपयोगकर्ताओं को पंजीकृत करते हैं। कुल मिलाकर, 2018 में, 1.2 मिलियन उपयोगकर्ताओं को एक संक्रमित ब्राउज़र का उपयोग करते हुए देखा गया था।

2017 की शुरुआत में, OWASP Russia Meetup # 6 में, हमने पहले ही Chrome के लिए दुर्भावनापूर्ण एक्सटेंशन के प्रसार से लड़ने में Odnoklassniki के अनुभव के बारे में बात की थी । लगभग दो वर्षों में, बहुत कुछ बदल गया है। लेकिन पहले, आइए जानें कि एक्सटेंशन कैसे काम करते हैं।

इसलिए, क्रोम उपयोगकर्ताओं को एक्सटेंशन इंस्टॉल करके ब्राउज़र को अनुकूलित करने की अनुमति देता है।
एक्सटेंशन एक जावास्क्रिप्ट एपीआई के साथ प्रदान किए जाते हैं जिसके साथ वे कर सकते हैं, जिसमें शामिल हैं:

• अवरोधन और HTTP अनुरोधों और प्रतिक्रियाओं को संशोधित;
• प्रदर्शित पृष्ठों के डोम को संशोधित करें;
• ब्राउज़र इंटरफ़ेस प्रबंधित करें (टैब खोलें और बंद करें, संदर्भ मेनू में आइटम जोड़ें);
• एक्सटेंशन की सूची का प्रबंधन;
• सिस्टम ईवेंट की सदस्यता लें, उदाहरण के लिए, माउस और कीबोर्ड से;
• ब्राउज़र इतिहास और साइट डेटा पढ़ें।

स्रोत कोड और संसाधनों (चित्रों, शैलियों, HTML पृष्ठों) के साथ संग्रह के रूप में क्रोम वेब स्टोर के माध्यम से एक्सटेंशन वितरित किए जाते हैं। विस्तार के प्रमुख घटक नीचे सूचीबद्ध हैं:

• विस्तार JSON एक्सटेंशन कॉन्फ़िगरेशन के साथ है। अन्य बातों के अलावा, प्रकट डेटा के लिए आवश्यक अनुमतियों और डोमेन की घोषणा करता है जिसके विस्तार तक पहुंच प्राप्त होगी।
• बैकग्राउंड स्क्रिप्ट्स को वेब पेज के कोड से अलग करके अपने संदर्भ में बैकग्राउंड में निष्पादित किया जाता है। वे ब्राउज़र से विभिन्न प्रकार की घटनाओं को प्राप्त करने और संसाधित करने के लिए डिज़ाइन किए गए हैं और इसकी एपीआई तक पूरी पहुंच है।
• सामग्री स्क्रिप्ट को वेब पेज के संदर्भ में निष्पादित किया जाता है। पेज के जावास्क्रिप्ट वातावरण स्वयं और एक्सटेंशन एक दूसरे से अलग-थलग हैं, एक्सटेंशन में पेज के चर और कार्यों तक पहुंच नहीं है, और इसके विपरीत। लिपियाँ DOM पृष्ठों को संशोधित कर सकती हैं और XMLHttpRequest का उपयोग करके क्रॉस-साइट अनुरोध कर सकती हैं। नियमित पृष्ठों के विपरीत, समान मूल नीति और CORS सर्वर नीतियां एक्सटेंशन के अनुरोधों पर लागू नहीं होती हैं, वे केवल प्रकट में अनुरोधित एक्सेस के सेट द्वारा सीमित होती हैं।

मान लीजिए किसी ने अपना वायरस लिखने का फैसला किया। वह क्या महसूस कर सकता है?

उपयोगकर्ता डेटा तक पहुंच
जैसा कि ऊपर उल्लेख किया गया है, विस्तार पृष्ठ और सर्वर के बीच अनुरोधों और प्रतिक्रियाओं को रोक सकता है। यह स्पष्ट है कि ट्रांसमिशन के दौरान डेटा की सुरक्षा के लिए सार्वभौमिक तंत्र - एसएसएल - इस मामले में पेज डेटा को सुरक्षित रखने में मदद नहीं करेगा, क्योंकि ब्राउज़र इसे पहले से डिक्रिप्ट किए गए एक्सटेंशन तक पहुंचाता है।

पृष्ठ सामग्री बदलें
एक्सटेंशन में DOM तक पहुंच है, पेज इंटरफ़ेस को बदलकर, तत्वों को जोड़ और हटा सकता है। एक क्लासिक उदाहरण बैनर विज्ञापनों का प्रतिस्थापन है।

उपयोगकर्ता गतिविधि ट्रैकिंग
एक्सटेंशन कीबोर्ड और माउस से घटनाओं की सदस्यता ले सकता है, और इस तरह ब्राउज़र में उपयोगकर्ता कार्यों को ट्रैक कर सकता है और पासवर्ड, व्यक्तिगत डेटा, बैंक कार्ड नंबर एकत्र कर सकता है।

उपयोगकर्ता के लिए कार्य करना
एक्सटेंशन उसी मूल नीति के उल्लंघन में पीड़ित पृष्ठ के संदर्भ में स्क्रिप्ट निष्पादित कर सकता है। इसका मतलब यह है कि उपयोगकर्ता द्वारा साइट पर किए जाने वाले किसी भी कार्य को एक्सटेंशन द्वारा भी शुरू किया जा सकता है।

दो-कारक प्रमाणीकरण और अन्य खाता सुरक्षा बाईपास करें
उपयोगकर्ता अपने आप ही ब्राउज़र में प्रमाणीकरण और प्राधिकरण पारित करता है, इसलिए, एक्सटेंशन को एक वैध उपयोगकर्ता के रूप में एक ही सत्र प्राप्त होता है।

सही बॉटनेट
स्मार्ट कैप्चा और फ्लड प्रोटेक्शन सिस्टम, एक नियम के रूप में, इस तथ्य पर भरोसा करते हैं कि बॉट से ट्रैफ़िक को आईपी, फ़िंगरप्रिंट और समय के साथ अनुरोधों के वितरण से अच्छे उपयोगकर्ताओं के ट्रैफ़िक से अलग किया जा सकता है। एक्सटेंशन के अनुरोधों को वास्तविक उपयोगकर्ताओं के अनुरोधों से अलग नहीं किया जा सकता है।

इस साल, Google ने ऐप स्टोर में मैलवेयर के प्रसार को रोकने के लिए डिज़ाइन किए गए कई नवाचारों की घोषणा की। तृतीय-पक्ष स्रोतों से एक्सटेंशन की स्थापना, इनलाइन इंस्टॉलेशन निषिद्ध था, मॉडरेशन नियम कड़े किए गए थे, एक्सटेंशन में ऑबफ्यूशन और मनमाना कोड निष्पादन निषिद्ध था।

इसके बावजूद, उपयोगकर्ताओं पर हमला करने के लिए दुर्भावनापूर्ण एक्सटेंशन का उपयोग किया जाता है। विशिष्ट लक्ष्य खातों की चोरी ( उदाहरण ), व्यक्तिगत डेटा ( उदाहरण ), स्पैमिंग या स्पूफिंग विज्ञापन ( उदाहरण ) हैं।

एक सफल हमले के लिए, एक्सटेंशन को कई समस्याओं का समाधान करना चाहिए:

• स्टोर में मॉडरेशन से छिपाएं;
• दर्शकों को ढूंढें और बनाए रखें;
• पैसा बनाओ।

स्टोर में किए गए टीयर मॉडरेशन वायरस लेखकों को एक्सटेंशन प्रकाशित करने के नए तरीकों की तलाश करते हैं। यहां हमने स्पैम फिल्टर के लिए स्पैमर्स के अनुकूलन की एक क्लासिक तस्वीर देखी: सैकड़ों उपयोगकर्ताओं के साथ एक एक्सटेंशन उपयोगकर्ताओं की एक छोटी संख्या के साथ विभिन्न लेखकों से दसियों अलग-अलग एक्सटेंशन में बदल गया, और ये एक्सटेंशन बाद में एक अच्छी प्रतिष्ठा के साथ लोकप्रिय अनुप्रयोगों की नकल करने लगे। एक्सटेंशन अब अपने सर्वर भाग और "नियंत्रण केंद्र" के साथ लोकप्रिय क्लाउड सेवाओं में होस्ट किए जाते हैं जो किसी भी समय संक्रमित ब्राउज़रों के व्यवहार को परिभाषित करते हैं।

स्टोर से हटाने के बाद, दुर्भावनापूर्ण के रूप में पहचाने गए एक्सटेंशन को उन उपयोगकर्ताओं के ब्राउज़र में अक्षम किया जा सकता है जिन्होंने उन्हें स्थापित किया था। संक्रमित दर्शकों को रखने और रिमोट के बजाय एक नया एक्सटेंशन स्थापित करने में सक्षम होने के लिए, वायरस लेखक ब्राउज़र सेटिंग्स में बदलाव करते हैं जो सीधे एक्सटेंशन से संबंधित नहीं हैं: एक सेवा कार्यकर्ता को पंजीकृत करें, उपयोगकर्ता को सूचनाओं की सदस्यता लें, उसे होम पेज या खोज सेवा से बदल दें। यह सब आपको वायरस के नए संस्करण को स्थापित करने के लिए ब्राउज़र को लिंक भेजने की अनुमति देता है।



जिन वायरस का हम अवलोकन करते हैं, उनके लिए स्पैम आय का मुख्य स्रोत है। एक्सटेंशन के लिए स्पैम वितरित करने के कई तरीकों में से, निम्नलिखित सबसे सुविधाजनक होने की संभावना है:

• देखे गए पृष्ठों पर विज्ञापन बदलें और जोड़ें । जैसा कि मैंने ऊपर उल्लेख किया है, एक्सटेंशन को देखे गए पृष्ठों की सामग्री में मनमाने ढंग से बदलाव करने की अनुमति दी जाती है, जिसमें स्वयं के साथ साइटों पर वैध विज्ञापनों को बदलने या उपयोगकर्ताओं को पॉप-अप, नए टैब खोलने या विज्ञापन के लिए कुछ साइटों को पुनर्निर्देशित करने सहित अतिरिक्त विज्ञापन दिखाना शामिल है।
  
  एक्सटेंशन के लिए विज्ञापन के प्रतिस्थापन का एक उल्लेखनीय रूप HTML5 सूचनाओं का उपयोग है। हालांकि एक्सटेंशन ब्राउज़र में स्थापित और सक्रिय है, यह पीड़ित को एक पृष्ठ में धोखा देने के लिए पर्याप्त है जो सेवा कार्यकर्ता को पंजीकृत करेगा और उपयोगकर्ता को सूचनाओं पर हस्ताक्षर करेगा। और चूंकि यह सेवा कार्यकर्ता सीधे एक्सटेंशन से संबंधित नहीं है, भले ही ब्राउज़र से एक्सटेंशन हटा दिए जाने के बाद भी, लेखकों के पास पुश सूचनाओं के रूप में उपयोगकर्ताओं के साथ संचार के लिए एक चैनल होगा।
  
  एक समान तंत्र का उपयोग पीड़ित को फिर से संक्रमित करने के लिए सोशल इंजीनियरिंग के साथ संयोजन में भी किया जाता है यदि स्टोर से एक्सटेंशन को हटा दिया जाता है: उपयोगकर्ता को आकर्षक सामग्री के साथ एक धक्का मिलता है (उदाहरण के लिए, "ok.ru नया अपठित संदेश") और डिलीट किए गए के बजाय वायरस के नए संस्करण को स्थापित करने के लिए एक लिंक के साथ।
• सोशल नेटवर्क पर स्पैम वितरित करने के लिए पीड़ित के खाते का उपयोग करें । ब्राउज़र में स्थापित एक्सटेंशन वर्तमान उपयोगकर्ता की ओर से अनुरोधों को निष्पादित कर सकता है, जिसमें उपयोगकर्ता से सामान्य सामग्री की आड़ में स्पैम पोस्ट करना (दोस्तों को संदेश लिखना, पोस्ट नोट्स और सार्वजनिक रूप से पोस्ट करना, फ़ोटो या वीडियो अपलोड करना) शामिल हैं।

उपरोक्त संक्षेप में, हम यह निष्कर्ष निकाल सकते हैं कि दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन अभी भी उपयोगकर्ताओं और वेब अनुप्रयोगों के लिए एक महत्वपूर्ण खतरा हैं। एक्सटेंशन दुर्भावनापूर्ण कोड को फैलाने के लिए एक सुविधाजनक तंत्र प्रदान करते हैं: स्थापना के दौरान उपयोगकर्ताओं के बीच कम संदेह पैदा करने के लिए उन्हें उच्च योग्यता की आवश्यकता नहीं होती है, अक्सर एंटीवायरस द्वारा कम पता लगाया जाता है।

स्थिति इस तथ्य से बढ़ी है कि ब्राउज़र में वेब पेजों में स्पष्ट रूप से एक्सटेंशन की तुलना में कम अधिकार हैं, और अपने उपयोगकर्ताओं की सुरक्षा के लिए कुछ भी नहीं कर सकते हैं। यह आशा की जाती है कि स्टोर में Google द्वारा घोषित एंटी-वायरस अभियान सफल होगा। लेकिन जब तक ऐसा नहीं होता है, हम ओके पर सोशल नेटवर्क के भीतर वायरस के प्रसार को कम करने और यथासंभव सुरक्षित सेवा का उपयोग करने के लिए काम कर रहे हैं।