Google loại bỏ hơn 500 tiện ích do cáo buộc đánh cắp dữ liệu

Google đã xóa hơn 500 tiện ích mở rộng trên Chrome sau cáo buộc các plugin trên Chrome Web Store tạo điều kiện cho quảng cáo lừa đảo và đánh cắp dữ liệu người dùng từ chuyên gia nghiên cứu về bảo mật Jamila Kaya.

Jamila Kaya đã phát hiện ra các plugin độc hại với sự trợ giúp của CRXcavator, một công cụ chuyên đánh giá tính bảo mật của các tiện ích mở rộng Chrome, do Duo Security phát triển và được cung cấp miễn phí từ năm ngoái.

Kaya cùng Jacob Rickerd – một chuyên gia bảo mật tại Duo cho biết họ phát hiện các tiện ích mở rộng của Chrome đều chứa mã nguồn giống hệt nhau, trốn tránh các cơ chế phát hiện vi phạm của Chrome Web Store nhằm làm xáo trộn tính năng quảng cáo từ người dùng, kết nối các ứng dụng từ máy khách đến một hệ thống kiểm soát khác, thực hiện lọc dữ liệu duyệt web riêng tư mà người dùng không hề hay biết, khiến người dùng có nguy cơ bị khai thác thông tin thông qua các luồng quảng cáo độc hại.

Google loại bỏ hơn 500 tiện ích do cáo buộc đánh cắp dữ liệu.

Trong hai năm qua, do việc lạm dụng các hàm API diễn ra, Google luôn cố gắng đổi mới cách thức hoạt động của tiện ích mở rộng trên Chrome. Tuy nhiên, việc quản lí quảng cáo chỉ giúp giới hạn nền tảng này về mặt kỹ thuật, chứ không đề xuất bất kì tiện ích tin cậy nào trên Chrome Web Store hay ngăn chặn các hành vi vi phạm của nhà phát triển.

Tuy phiên bản nâng cấp tập trung vào bảo mật Manifest v3 đã ra mắt, nhưng các tiện ích mở rộng Chrome với Manifest v2 vẫn đang được sử dụng và Chrome Web Store thì hoạt động không thực sự hiệu quả.

Nhờ CRXcavator, Kaya đã tìm thấy khoảng 70 tiện ích mở rộng cung cấp dịch vụ quảng cáo và chứa mã nguồn giống hệt nhau, như MapsTrek Promotions, FreeWeatherApp Promos, và CouponRockstar Offers. Sau khi được báo cáo riêng về vấn đề này, Google đã tạo một mã vân tay và tìm thấy hơn 500 tiện ích mở rộng độc hại với hơn 1,7 triệu lượt cài đặt. Công ty sau đó đã loại bỏ tất cả các tiện ích mở rộng trong danh sách.

Các tiện ích mở rộng độc hại hoạt động lén lút và tạo doanh thu quảng cáo bằng cách chuyển hướng trình duyệt của người dùng sang một loạt các trang web lưu trữ, hầu hết là các trang được lưu trữ trên AWS, nơi chứa một loạt các quảng cáo, cả hợp pháp và bất hợp pháp.

Theo hai chuyên gia Kaya và Rickerd, “Phần lớn là các luồng quảng cáo đơn thuần, dẫn đến các trang như Macy’s, Dell hay Best Buy. Còn các quảng cáo độc hại và lừa đảo thì luôn hiển thị một lượng lớn nội dung quảng cáo và chuyển hướng người dùng đến phần mềm độc hại và lừa đảo.”

Đáp lại vấn đề này, phát ngôn viên của Google cho biết: “Chúng tôi ghi nhận kết quả của các nhà nghiên cứu. Khi phát hiện hành vi vi phạm của các tiện ích mở rộng trong Web Store, chúng tôi đã tiến hành các biện pháp ngăn chặn. Từ sự cố này, chúng tôi sẽ rút kinh nghiệm và cải thiện các phân tích tự động và thủ công của mình. Google thường xuyên quét tìm và gỡ bỏ các tiện ích mở rộng có các kỹ thuật, mã hay hành vi tương tự, vi phạm các chính sách Google.”

Phát ngôn viên của Google không trả lời các câu hỏi về việc liệu cơ quan thực thi pháp luật có biết về vụ việc này hay không, hay câu hỏi về thông tin của các cá nhân, tổ chức đằng sau các tiện ích mở rộng độc hại này.

Phát ngôn viên của Duo Security cho biết Google phải mất tới hai tháng mới biết được vụ việc, nhưng từ chối đề cập đến thời gian cụ thể và các câu hỏi khác liên quan đến Google.

Kaya và Rickerd bật mí vài thông tin về cá nhân, tổ chức đứng sau vụ việc này. Theo đó, thủ phạm đã bắt đầu hoạt động ít nhất từ tháng 01/2019. Thủ phạm có thể đã hoạt động từ rất lâu trước đó, từ năm 2017, do điều tra ngày đăng ký tên miền, hay thậm chí là năm 2010, bởi thủ phạm sử dụng một số loại mã nhất định vào thời điểm đó.

Hai nhà nghiên cứu phát hiện một hồ sơ đăng ký tên miền có chứa tên của một cá nhân, nhưng cho biết không thể khẳng định rằng cá nhân này là người có liên quan đến các tên miền quảng cáo độc hại trên.

Hai nhà nghiên cứu suy đoán rằng để tránh bị phát hiện, các plugin quảng cáo độc hại không hề thay đổi các mã cơ bản, mà chỉ thay đổi tên của các hàm JavaScript. Điều này cho thấy hiện tại, việc quét bảo mật đối với các tiện ích mở rộng của Google là khá lỏng lẻo