Google vẫn thất bại trong việc ngăn cản các extension độc xuất hiện trên Store

[WhiteHat News #ID:3333]

Google đang nỗ lực kiểm soát các ứng dụng cài đặt trên Chrome nhằm hạn chế những rủi ro an ninh do người dùng cài đặt các extension chưa được Google thông qua.

Google đã đưa ra chính sách bắt buộc các ứng dụng và exention được cài đặt phải có trên Chrome Web Store. Điều này có nghĩa bạn có thể download chúng từ nhiều trang khác nhau nhưng các ứng dụng và extension này chỉ hoạt động nếu chúng cũng có trên Store. Google tuyên bố đây là giải pháp giúp hãng có thể giám sát toàn bộ quá trình và loại bỏ các ứng dụng độc hại.

Tuy nhiên, TrendMicro cho biết thêm một extension trình duyệt độc hại nữa đã có trên Web Store và đây không phải là trường hợp duy nhất.

Sự việc bắt đầu trên Facebook với thông tin về 1 video có nội dung nhạy cảm thu hút sự quan tâm của người dùng. Một khi click vào đường dẫn, bạn sẽ được chuyển hướng đến một trang web giống YouTube nhưng thực chất video này không hề hoạt động.

Để xem được video, bạn sẽ được yêu cầu cài một Chrome extension mà không cần thiết nếu bạn đang truy cập trang YouTube chính thống.

Nếu click vào thông báo, bạn sẽ được dẫn đến Chrome Web Store và được mời chào tải extension độc. Sau khi cài đặt, người dùng được chuyển đến trang YouTube thực để xem video như mong muốn.

Sau đó, extension này tạo các post và comment trên Facebook của bạn, nó cũng có thể gửi tin nhắn và link qua Facebook chat. Điều này giúp extension lây lan nhanh chóng.

Hàng nghìn lượt tải các ứng dụng độc

Theo báo cáo của TrendMicro, tác giả của extension này đã thuê một máy chủ riêng ảo ở Nga và đăng ký một vài domain tại đây. Đa số người dùng truy cập các site độc hại là từ Brazil, số khác từ Anh, Mỹ và Argentina.

Đây không phải là extension độc đầu tiên vượt qua cơ chế kiểm soát của Google, và không phải là extension độc duy nhất trên store. Hầu hết các extension độc tồn tại trong Store chỉ trong một thời gian ngắn, nhưng thật không may chúng lại nhận được hàng ngàn lượt tải về.

Nguồn: Softpedia ​