13 lipca 2010

Rozszerzenia do Google Chrome mogą wykradać hasła

Osobiście korzystam ze wszelkiego rodzaju rozszerzeń i dodatków do przeglądarek internetowych z dużym umiarem. Po pierwsze wolę samodzielne, specjalizowane narzędzia. Po drugie, znane nam obecnie mechanizmy rozszerzania funkcjonalności przeglądarek stanowią potencjalnie spore zagrożenia dla bezpieczeństwa naszego systemu informatycznego oraz danych. Google Chrome oficjalnego wsparcia dla rozszerzeń doczekał się całkiem niedawno, warto jednak wiedzieć, że powstało już rozszerzenie zdolne od wykradania naszych poświadczeń.

Oficjalne wsparcie dla rozszerzeń, pojawiło się w Google Chrome w wersji 4.1.249. Rozszerzenia są tworzone za pomocą technologii JavaScript oraz HTML i m.in. pozwalają na dostęp do formularzy znajdujących się na witrynach internetowych, również tych służących do... wprowadzania poświadczeń.

Andreas Grech postanowił przygotować przykładowe rozszerzenie demonstrujące właśnie tego typu zagrożenie. Otóż działanie rozszerzenia jest bardzo proste. Gdy tylko użytkownik wpisuje swe poświadczenia na jakiejś stronie internetowej, login oraz hasło zostają przechwycone oraz przesłane e-mailem do potencjalnego intruza. Z punktu widzenia internauty cały atak jest jednak zupełnie niewidoczny i nie zaburza samego procesu logowania.

Przygotowany przez Andreasa kod PoC ma następującą postać:
Tutaj natomiast jest dostępny plik manifest.json.

Mimo, że zaprezentowany przez Grecha przykład praktyczny jest bardzo interesujący i przypomina nam wszystkim o zagrożeniach związanych z tak popularnymi dziś dodatkami i rozszerzeniami do przeglądarek internetowych, to jednak pomysł na ataki z wykorzystaniem rozszerzeń nie jest nowy. Warto chociażby wspomnieć, że całkiem niedawno dystrybuowane były zainfekowane dodatki do Firefoksa, które to przedostały się przez rutynowe mechanizmy kontrolne Mozilli.

Reasumując, wszyscy (twórcy przeglądarek, komputerowi przestępcy oraz internauci) na dzień dzisiejszy zdają sobie sprawę z zagrożeń, jakie niosą ze sobą dodatki i rozszerzenia. Jednak ze względu na specyficzne cechy znanych nam dziś technologii doposażenia przeglądarek, wyeliminowanie tego typu zagrożeń w praktyce nie jest możliwe. Głównym wyzwaniem na chwilę obecną jest więc stworzenie takich mechanizmów detekcyjnych, które nie pozwolą złośliwym dodatkom na przedostanie się do oficjalnych kanałów dystrybucyjnych.

Komentarze

Wczytywanie... Logowanie...
  • Zalogowany jako
Na razie nie ma komentarzy. Bądź pierwszy!

Wyślij nowy komentarz

Comments by