Varsayılan arama motoru ele geçirme olayıyla bağlantılı, 13,4 milyon kurulumlu 319 Chrome extension

Ne oldu

İki tarayıcı extension güvenlik haberi birbirine yakın zamanlarda ortaya çıktı ve bir dev.to yazısı, bunların yanlışlıkla tek bir olay gibi karıştırıldığını savunuyor. İlki, güvenlik firması Socket'ten geliyor ve 319 Chrome extension'ı, yaklaşık on yıla yayılan toplam kabaca 13,4 milyon kurulumla arama ele geçirmeyle ilişkilendiriyor. İkincisi Microsoft'tan ve Perplexity taklidi yapan tek bir kötü niyetli Chromium extension ile ilgili. Teknik detaylar önemli ölçüde farklılık gösteriyor ve bunların karıştırılması her iki raporu da bulanıklaştırıyor.

Socket'in bulgularının ölçeği

dev.to özetine göre Socket, 319 Chrome extension'ı arama yönlendirme davranışıyla ilişkilendirdi; toplam kurulum sayısı neredeyse on yıl boyunca yaklaşık 13,4 milyon. Bu sayı tekil kullanıcıları değil kurulumları sayıyor, dolayısıyla 13,4 milyon etkilenmiş insan olarak okunmamalı. Extension'lar kurulup kaldırılıp yeniden kuruluyor ve kampanyanın bir kısmı yıllar öncesine uzandığından, bu kurulumların birçoğu muhtemelen geçmişte kalmış durumda, günümüzde aktif değil.

Ele geçirme nasıl çalışıyor

Socket'in bulgularının merkezindeki teknik, chrome_settings_overrides adlı bir manifest anahtarı. Yazıya göre bu anahtarı kullanan bir extension, sayfa içeriğini okuma veya gezinme geçmişi gibi geniş izinler istemeden tarayıcının varsayılan arama motorunu değiştirebiliyor. Bu da değişikliği bir izin incelemesinde sıradan gösteriyor, çünkü istenen erişimde web trafiğini ele geçirdiğine dair herhangi bir sinyal bulunmuyor.

Varsayılan motor değiştirildikten sonra arama sorguları, çoğunlukla sonuna izleme parametreleri eklenmiş halde Bing veya Yahoo'ya ulaşmadan önce operatörlerin kontrolündeki bir ara sunucu üzerinden yönlendiriliyor. dev.to yazısı, bu ara adımın ilke olarak insanları sahte kimlik avı (phishing) sayfalarına yönlendirmek için de kullanılabileceğini, ancak bu particular extension'lar için bunun doğrulanmadığını belirtiyor.

Ayrı olan Microsoft vakası

Microsoft'un raporu farklı bir şeyi anlatıyor: Perplexity pozunda olan tek bir kötü niyetli Chromium extension. Varsayılan arama motorunu değiştirmek yerine, Manifest V3'ün declarativeNetRequest kurallarını kullanarak adres çubuğu sorgularını gerçek bir arama motoruna yönlendirmeden önce saldırgan kontrolündeki bir domain'e iletiyor. Yazıya göre canlı arama önerileri de yazıldığı anda, karakter karakter yakalanıyordu.

dev.to yazısı, iki haberin kapsamında kolayca kaybolabilecek bir noktaya dikkat çekiyor: declarativeNetRequest tekniği ve domain detayları yalnızca bu Perplexity taklidi tek extension'a aittir ve Socket'in raporundaki 319 extension'a atfedilmemelidir.

Hızlı bir kendi kendine kontrol

Yazı, etkilenip etkilenmediğinizi görmek için basit bir yol sunuyor: tarayıcınızın arama motoru ayarlarını açın ve bunları hangi extension'ın (varsa) kontrol ettiğini kontrol edin. Varsayılan arama motoru ayarının yanında bir extension adının görünmesi, Socket'in tanımladığı tekniğin görünür izidir.

Neden önemli

Kampanya üç nedenden dolayı önemli. Birincisi, saldırı yüzeyi ucuz: varsayılan arama motorunu değiştirmek ürkütücü izin istemleri gerektirmiyor, dolayısıyla kullanıcıların şüpheli extension'ları tespit etmek için güven aldığı olağan sinyaller mevcut değil. İkincisi, operatör kontrolündeki ara sunucu arama trafiği için kalıcı bir ele geçirme noktası. İzleme parametreleri doğrulanmış etki, ancak aynı ara adım kimlik avı için yeniden kullanılabilir ve kullanıcıların bunu fark etme yolu çok az olurdu. Üçüncüsü, ölçek ve süre, tek seferlik bir kötü aktörden ziyade dayanıklı, tekrarlanabilir bir dağıtım modeline işaret ediyor ve bu da Chrome'un extension inceleme süreci için bir zorluk.

Microsoft vakası ayrı bir uyarı ekliyor: Manifest V3 izin modelinin bir parçası olan declarativeNetRequest, sorguları ve adres çubuğundan tuş vuruşu düzeyindeki önerileri sızdırmak için kullanıldı. Son olarak, yazının kendisi de haber alma titizliği açısından küçük bir ders: yakın zamanda yayımlanan birbirine benzeyen iki olay aktarım sırasında birleşebilir ve teknikleri doğru kampanyaya tam olarak atfetmek, kaydı düzgün tutan şeydir.