- Исследования показывают, что Manifest V3 может страдать от проблем с безопасностью
- Обновленный манифест Chromium по-прежнему допускает использование вредоносных расширений.
- Некоторым инструментам безопасности сложно идентифицировать опасные расширения.
Расширения для браузера уже давно стали удобным инструментом для пользователей, повышающим производительность и оптимизирующим задачи. Однако они также стали основной мишенью для злоумышленников, стремящихся использовать уязвимости, нацеленных как на отдельных пользователей, так и на предприятия.
Несмотря на усилия по повышению безопасности, многие из этих расширений нашли способы использовать лазейки в последней платформе расширений Google, Manifest V3 (MV3).
Недавнее исследование SquareX показало, что эти мошеннические расширения все еще могут обходить ключевые меры безопасности, подвергая миллионы пользователей таким рискам, как кража данных, вредоносное ПО и несанкционированный доступ к конфиденциальной информации.
Расширения браузера теперь представляют большую угрозу
Google всегда боролся с проблемами расширений в Chrome. В июне 2023 года компании пришлось вручную удалить 32 уязвимых расширения, которые были установлены 72 миллиона раз, прежде чем были удалены.
Предыдущая платформа расширений Google, Manifest Version 2 (MV2), была общеизвестно проблематична. Он часто предоставлял расширениям чрезмерные разрешения и позволял внедрять скрипты без ведома пользователя, что упрощало злоумышленникам кражу данных, доступ к конфиденциальной информации и внедрение вредоносного ПО.
В ответ Google представила Manifest V3, целью которого было усиление безопасности за счет ограничения разрешений и требования к расширениям заранее объявлять свои скрипты. Хотя ожидалось, что MV3 устранит уязвимости, присутствующие в MV2, исследования SquareX показывают, что в критических областях он не справляется.
Вредоносные расширения, созданные на основе MV3, по-прежнему могут обходить функции безопасности и красть прямые видеопотоки с платформ для совместной работы, таких как Google Meet и Zoom Web, без необходимости получения специальных разрешений. Они также могут добавлять неавторизованных соавторов в частные репозитории GitHub и даже перенаправлять пользователей на фишинговые страницы, замаскированные под менеджеры паролей.
Кроме того, эти вредоносные расширения могут получать доступ к истории посещений, файлам cookie, закладкам и истории загрузок, аналогично своим аналогам MV2, путем вставки поддельного всплывающего окна обновления программного обеспечения, которое обманом заставляет пользователей загружать вредоносное ПО.
После установки вредоносного расширения частные лица и предприятия не могут обнаружить действия этих расширений, что делает их незащищенными. Решения безопасности, такие как защита конечных точек, Secure Access Service Edge (SASE) и Secure Web Gateways (SWG), не могут динамически оценивать расширения браузера на предмет потенциальных рисков.
Чтобы решить эти проблемы, SquareX разработала несколько решений, направленных на повышение безопасности расширений браузера. Их подход включает в себя точно настроенные политики, которые позволяют администраторам решать, какие расширения блокировать или разрешать, основываясь на таких факторах, как разрешения расширений, история обновлений, отзывы и рейтинги пользователей.
Это решение может блокировать сетевые запросы, сделанные расширениями, в режиме реального времени на основе политик, данных машинного обучения и эвристического анализа. Кроме того, SquareX экспериментирует с динамическим анализом расширений Chrome с помощью модифицированного браузера Chromium на своем облачном сервере, что позволяет глубже понять поведение потенциально вредоносных расширений.
«Расширения браузера — это слепое пятно для EDR/XDR, и у SWG нет возможности сделать вывод об их присутствии», — отметил Вивек Рамачандран, основатель и генеральный директор SquareX.
«Это сделало расширения браузера очень эффективным и мощным методом незаметной установки и мониторинга корпоративных пользователей, а злоумышленники используют их для мониторинга общения через веб-вызовы, действуют от имени жертвы, предоставляя разрешения внешним сторонам, кражи файлов cookie и других веб-сайтов. данные и так далее».
«Наше исследование доказывает, что без динамического анализа и возможности предприятий применять строгие политики невозможно будет выявить и заблокировать эти атаки. Google MV3, несмотря на хорошие намерения, все еще далек от обеспечения безопасности как на этапе проектирования, так и на этапе реализации», — добавил Рамачандран.