Недавний отчет исследователя безопасности Джона Такнера из компании Socket раскрыл масштабную кампанию по перехвату поисковых запросов, в которой были задействованы 319 расширений для браузера Google Chrome с общим числом загрузок 13,4 миллиона. Эти расширения используют разрешения браузера для перенаправления пользовательских запросов через прокси-серверы с целью генерации рекламных доходов через такие поисковые системы, как Bing и Yahoo.
Механизм перехвата
Эти расширения полагаются на использование параметра chrome_settings_overrides в браузере Chrome, который позволяет им заменять поисковую систему пользователя по умолчанию без необходимости сложного программирования. Во многих случаях расширения вообще не содержат фоновых скриптов или сложного контента, ограничиваясь лишь файлом манифеста (manifest) и иконками, что облегчает их прохождение через интернет-магазин Chrome Web Store.
Эти расширения маскируются под полезные инструменты, такие как конвертеры PDF-файлов, инструменты ручного поиска или расширения для безопасного поиска и искусственного интеллекта. Несмотря на то, что они размещены в официальном магазине Google, они часто являются скрытыми (Unlisted), что означает их отсутствие в результатах поиска внутри магазина, и вместо этого рекламируются через вводящую в заблуждение рекламу на сторонних веб-сайтах.
Почему эта новость важна?
Опасность этих расширений выходит за рамки простого рекламного мошенничества. Исследователи предупреждают, что операторы этой сети имеют возможность в любой момент изменить пункт назначения перенаправления без необходимости обновления самого расширения. Это означает потенциальную возможность внезапного перенаправления пользователей на фишинговые сайты или страницы, содержащие вредоносное ПО, что превращает эти расширения из нежелательных программ в инструменты прямой угрозы безопасности.
Технический анализ расширения под названием "Predator Search" показал, что один и тот же поисковый запрос может каждый раз приводить к разным результатам, так как пользователь перенаправляется через цепочку промежуточных доменов перед попаданием на конечную поисковую систему, что подтверждает полный контроль операторов над потоком данных.
Что делать пользователям?
Хотя Google удалила большинство этих расширений после их обнаружения, угроза все еще сохраняется из-за постоянного появления новых расширений. Эксперты рекомендуют следующие шаги:
- Немедленно удалить любые неизвестные или вызывающие сомнения расширения.
- Выполнить полную проверку системы с помощью надежного антивирусного программного обеспечения.
- Избегать загрузки расширений из ненадежных источников или через всплывающую рекламу на веб-сайтах.