Tiện ích trình duyệt: Khéo backdoor ngay trong máy của bạn!

[WhiteHat Team]

Làm an ninh mạng đủ lâu, tôi thấy một nghịch lý: Doanh nghiệp sẵn sàng bỏ tiền mua tường lửa, EDR, SOC… nhưng lại để một backdoor nằm ngay trên trình duyệt của nhân viên, đó là các tiện ích mở rộng. Tin mới về extension độc hại trên Google Chrome thực ra không có gì quá bất ngờ, chỉ là nó nhắc chúng ta rằng: Kẻ tấn công đang đi đường vòng, đánh vào thói quen tiện tay cài thêm công cụ cho “đỡ mệt”.
​

​

Một ví dụ điển hình là extension giả danh công cụ hỗ trợ quản lý Meta Business Suite và Facebook Business Manager. Bề ngoài, nó trông như “đồ nghề” cho dân marketing: xuất dữ liệu, bỏ cửa sổ xác minh, tạo mã xác thực hai lớp. Nhưng bên trong, nó âm thầm gửi danh sách nhân sự, cấu hình tài khoản quảng cáo và cả mã xác thực về máy chủ bên ngoài. Với chừng đó thông tin, kẻ tấn công không cần phá mật khẩu, chúng đi thẳng vào tài khoản doanh nghiệp như đi cửa chính.
​

Câu chuyện còn đáng lo hơn khi làn sóng extension giả danh “trợ lý AI” bùng lên. Người dùng muốn tóm tắt văn bản, viết email nhanh hơn, hỗ trợ Gmail… và thế là cài. Vấn đề nằm ở chỗ nhiều extension không xử lý dữ liệu ngay trên máy mà đẩy nội dung email, trang web lên máy chủ của bên vận hành. Với doanh nghiệp, đó có thể là hợp đồng, báo giá, dữ liệu khách hàng, những thứ lẽ ra không bao giờ được rời khỏi hệ thống nội bộ.

Ở góc độ kỹ thuật, extension có quyền rất “sâu”: đọc nội dung trang web, theo dõi lịch sử duyệt, tương tác với phiên đăng nhập đang mở. Một khi đã cấp quyền, bạn gần như đặt niềm tin vào nhà phát triển tiện ích, mà biết đâu nhỡ nhà phát triển đôi khi chính là kẻ đi săn dữ liệu.

Hãy thực tế một chút:​

• Extension có thể nguy hiểm không kém một file .exe tải lậu​
• Với cá nhân chỉ nên giữ lại những tiện ích thật sự cần, gỡ bớt cái “cho vui”​
• Với doanh nghiệp, hãy tách trình duyệt cho công việc nhạy cảm, chỉ cho phép danh sách extension đã được kiểm tra.​

An ninh mạng không chỉ là vá lỗ hổng hệ thống. Đôi khi, lỗ hổng có thể từ cài thêm một tiện ích để… đỡ mất công vài cú click.
​

Theo The Hacker News​

​