Car-tech

La mise à jour Chrome renforce le contrôle des extensions

Annonces du #GoogleMarketingLive 2019

Annonces du #GoogleMarketingLive 2019

Table des matières:

Anonim

au moment où les développeurs disposent de plusieurs options pour installer les extensions hors ligne (sans utiliser l'interface du navigateur) dans Google Chrome pour Windows. L'une d'entre elles consiste à ajouter des entrées spéciales dans le registre Windows pour indiquer à Chrome qu'une nouvelle extension a été installée et devrait être activée.

"Cette fonctionnalité était initialement destinée à permettre aux utilisateurs d'ajouter une extension utile à Chrome en tant que Une partie de l'installation d'une autre application », a déclaré vendredi Peter Ludwig, responsable des produits Google Chrome Extensions, dans un article de blog. "Malheureusement, cette fonctionnalité a été largement utilisée par des tiers pour installer silencieusement des extensions dans Chrome sans que les utilisateurs le reconnaissent."

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

Pour éviter ce type d'abus, à partir de Chrome 25, le navigateur désactivera automatiquement toutes les extensions «externes» installées précédemment et présentera aux utilisateurs une boîte de dialogue unique pour choisir celles qu'ils souhaitent réactiver.

En outre, toutes les extensions qui sont installés en utilisant les méthodes hors ligne seront désactivés par défaut et on demandera à l'utilisateur s'il veut les activer lorsque le navigateur sera redémarré.

Mozilla a implémenté un mécanisme très similaire il y a un an dans Firefox pour empêcher les extensions installées hors ligne par d'autres programmes d'être activé sans confirmation de l'utilisateur.

Préoccupations de sécurité

De nombreuses attaques ont utilisé des extensions de navigateur malveillants, y compris les extensions Chrome. Par exemple, en mai, la fondation Wikimedia a émis une alerte à propos d'une extension de Google Chrome qui insérait des publicités malveillantes dans les pages Wikipedia.

En juillet, Google a cessé d'installer des extensions Chrome sur des sites tiers.

Cela a rendu plus difficile la distribution d'extensions malveillantes par des pirates, mais n'a pas empêché les logiciels malveillants d'installer des extensions Chrome malhonnêtes sur un système déjà compromis utilisant les méthodes hors ligne. Les modifications Chrome 25 à venir visent à y remédier.

"Je pense que c'est un bon pas dans la bonne direction, qui est une expérience de navigation plus sécurisée", a déclaré Zoltan Balazs, chercheur hongrois en sécurité informatique. Balazs a déjà créé des extensions malveillantes pour Firefox, Chrome et Safari afin de démontrer la puissance de ces outils entre les mains des attaquants.

La recherche de Balazs, présentée lors de plusieurs conférences sur la sécurité cette année, a montré comment extensions de navigateur voyous contrôlées à distance peuvent modifier le contenu des pages Web, prendre des captures d'écran via la webcam de l'ordinateur, agir comme un proxy HTTP inverse dans le réseau interne, télécharger, télécharger et exécuter des fichiers, être utilisé pour le crack.

Même si les changements à venir dans Chrome 25 vont rendre la vie plus difficile pour les attaquants, un logiciel malveillant pourrait encore remplacer l'ensemble de l'installation Chrome par un backdoored, a déclaré Balazs. Il a souligné la première des "10 lois immuables de sécurité" publiées par Microsoft, qui stipule: "Si un méchant peut vous persuader d'exécuter son programme sur votre ordinateur, ce n'est plus votre ordinateur."

En Juillet, lorsque Google a interdit les installations d'extensions Chrome à partir de sites Web tiers, la société a également déclaré qu'elle commencerait à analyser toutes les extensions répertoriées dans le Chrome Web Store à la recherche de comportements malveillants et supprimerait les extensions incriminées.

Méfiez-vous des escroqueries

Toutefois, des extensions malveillantes ont été trouvées dans le Chrome Web Store à plusieurs reprises depuis lors, suggérant que le mécanisme d'analyse et de révision des extensions de Google peut être contourné. Le 30 août, des chercheurs de Barracuda Networks ont averti que les escrocs de Facebook avaient réussi à tromper plus de 90 000 utilisateurs pour installer plusieurs extensions Chrome malveillantes hébergées dans le Chrome Web Store avant que Google ne les supprime.

Une alerte du 20 décembre de Facecrooks qui surveille les menaces Facebook, a averti d'une escroquerie qui a incité les utilisateurs à installer une extension Chrome voyous en prétendant qu'il modifie les couleurs de leur profil Facebook.

Selon Balazs, le fait que les développeurs d'extension malveillants parviennent à contourner le Web Chrome

Il est très facile d'obscurcir le code JavaScript ou de dissimuler des fonctions malveillantes dans d'autres fonctions non malveillantes ou de créer des extensions non malveillantes et d'ajouter des fonctions malveillantes dans une mise à jour, explique M. Balazs. "C'est le même jeu de chat et de souris que nous voyons entre les développeurs de logiciels malveillants et l'industrie AV."

"En ce moment, Google est le standard de sécurité en matière de sécurité des extensions de navigateur". Cependant, un grand pas en avant pour Google consisterait à désactiver l'ancienne architecture de plugin NPAPI (Netscape Plugin Application Programming Interface) partout - il est désormais désactivé dans Chrome pour Windows 8 Metro et Chromebook - et à promouvoir l'architecture Native Client plus sécurisée et en sandbox. il a dit.