Опасные расширения превратили браузеры почти миллиона пользователей в инструменты скрытого сбора данных

Фото: Reddit

В интернете всплыла новая киберугроза: 245 расширений для популярных браузеров Chrome, Firefox и Edge использовали специальную библиотеку MellowTel-js для скрытого сбора данных с посещаемых сайтов. Эти расширения устанавливались под самыми разными предлогами — от удобной закладки до генерации случайных чисел, однако все они имели одну общую черту: превращали пользователей в инструмент незаметной и агрессивной парсинговой сети.

Исследователь Джон Такнер из SecurityAnnex выяснил, что за этим стоит компания MellowTel и связанная с ней фирма Olostep, предлагающая платный сервис обхода антибот-защит сайтов. Клиенты Olostep получали доступ к данным, собранным с помощью браузеров обычных пользователей, причём сами владельцы расширений получали 55% прибыли, а MellowTel — остальную часть.

Как работает схема:

1. В расширения внедряется библиотека MellowTel-js.
2. При активации создаётся WebSocket-соединение с сервером AWS.
3. На открываемых пользователем страницах незаметно подгружается скрытый iframe с адресами сайтов, которые запрашивают клиенты Olostep.
4. MellowTel временно удаляет важные заголовки безопасности (например, Content-Security-Policy и X-Frame-Options), ослабляя защиту от атак вроде XSS (межсайтовых скриптовых атак).

Таким образом, браузеры пользователей выполняют скрытые задачи: собирают данные с сайтов и передают их третьим лицам. При этом пользователи не имеют никакой возможности узнать, какие сайты посещаются в фоновом режиме.

Не должно ли существовать механизмов, которые запрещают подобные действия? Почему так просто можно подгрузить посторонний контент внутри любой страницы? Джон Такнер, эксперт SecurityAnnex

Хотя основатель MellowTel Арсиан Али утверждает, что его решение «не внедряет вредоносную рекламу и не собирает персональные данные», сам факт манипуляций с сетевыми заголовками и внедрения скрытых фреймов говорит об обратном.

В чём опасность для пользователей:

• Утечка конфиденциальных данных: скрытые iframe могут открыть доступ к приватной информации.
• Рост уязвимостей: удаление стандартных мер защиты увеличивает риск атак.
• Нарушение правил безопасности корпоративных сетей: для компаний это может обернуться серьёзными последствиями.

Полный список расширений, найденных Такнером, можно найти здесь.