Spyware-campagne gebruikte 70 malafide Chrome-extensies met 32 miljoen downloads

Chrome heeft meer dan 70 kwaadaardige Chrome-extensies verwijderd uit de Chrome Web Store, nadat een beveiligingsbedrijf een grote spyware-campagne aan het licht bracht. De extensies zijn gezamenlijk 32 miljoen keer gedownload.

De extensies stuurden inloggegevens van zakelijke tools en de browsegeschiedenis van gebruikers door en waren speciaal ontworpen om detectie door antivirus- en beveiligingssoftware te voorkomen. Dat zegt beveiligingsbedrijf Awake Systems tegen Reuters.

Om welke extensies het precies gaat, is niet bekendgemaakt. Volgens het beveiligingsbedrijf ging het onder andere om extensies die bestanden naar een ander formaat converteren, en om extensies die zeggen gebruikers te waarschuwen voor twijfelachtige websites.

Volgens Awake Systems maakten de extensies onderdeel uit van de grootste spyware-campagne via Chrome tot nu toe. Het bedrijf informeerde Google, waarna vorige maand meer dan 70 extensies zijn verwijderd. Google bevestigt het bestaan en het verwijderen van de extensies tegenover Reuters, maar gaat niet inhoudelijk in op de schaal van het misbruik.

Het is niet duidelijk wie er achter de distributie van de malware zit. Volgens Awake Systems leverden de makers valse contactinformatie aan bij Google tijdens het indienen van de extensies. Meer dan 15.000 domeinen waar de informatie naar toegestuurd werd zijn allemaal te linken aan een kleine registrar, Galcom uit Israël. Awake stelt dat de registrar had moeten zien dat er iets niet in de haak was. Die registrar ontkent dat.

Geïnfecteerde extensies zijn nog altijd een groot probleem voor Google. Begin dit jaar haalde de browsermaker ook al vijfhonderd extensies offline. Die werden ingezet voor malvertising. Hoewel dat om meer extensies ging, werden die door minder mensen gebruikt. In totaal ging het toen om 1,7 miljoen downloads.

Reacties (61)

[whitecrow]

"Om welke extensies het precies gaat, is niet bekendgemaakt." , dat is ook niet echt handig.

Ik kan nog wel een aantal namen vinden op https://dataspii.com/ , maar ik weet niet of dit nieuwsbericht gaat over het rapport op die site.

[gooos]

Inderdaad - precies mijn gedachte, als je kan zien wat voor een soort extensies er worden misbruikt voor dit soort zaken dan kan je bij meer mensen een bewustzijn creëren om bepaalde type extensies wellicht te vermijden.

[yvez]

Ik vind het ook vreemd dat ze dat niet bekend maken...je wilt toch mensen informeren?

[bbob]

Wat ik zou zien is dat google actief achter deze bedrijven aangaat. Ze hebben ip adressen, er zijn overtredingen gepleegd, ze hebben een spoor. Waarom klagen ze deze bedrijven, mensen hierachter niet aan.

Hoe kan het dat het schijnbaar zo eenvoudig is je aan te melden bij de playstore met apps en valse gegevens. Hoe gaat men dit in de toekomst verbeteren. Moest laatst bijv als voor google review van bedrijf adres opgeven, wachter op een kaartje per post met een code. Dan heb je al een adres. Natuurlijk ook daar weer katvangers maar ze kunnen het ook moeilijk maken.

[Bender]

Het alternatief is dat iedere extensie een volledig onafhankelijke code review moet laten doen. Je maakt dan van een simpele extensie ook meteen een gigantische kostenpost voor de (goedbedoelde) ontwikkelaar.

[Elefant]

Het is helemaal niet zo moeilijk. Ze hoeven echt niet elke app te testen. Google hoeft binnen zijn app store alleen maar een sectie te maken van apps die open source, getest en 100% veilig zijn. Ik vind dat dit wel uit die 30% moet kunnen, desnoods maken ze er 40% van, want mensen willen best betalen voor veiligheid.

Maar een commercieel bedrijf als Google doet dat niet omdat ze verdient aan al die aanbieders van junk en de lekken haar eigen gegevensverzameling prima maskeren. Je kunt zo nooit bewijzen het was Google die de informatie doorspeelde, want het kan ook om het even welke app zijn die inbreuk gemaakt heeft.

Dat is ook het foute van zo veel macht en verantwoordelijkheid in handen van een buitenlands commercieel bedrijf te geven. Dat zou in handen van lokale overheden moeten liggen. De hele privacy wetgeving is ook een farce zolang je bedrijven als Google toestaat om op grote schaal hele vertrouwelijke gegevens te verzamelen

Google's motto daarbij is:

If you have something that you don't want anyone to know, maybe you shouldn't be doing it in the first place.

Of wel bedrijven moeten geen bedrijfsgeheimen willen hebben en burgers geen privégeheimen.

[Reactie gewijzigd door Elefant op 23 juli 2024 04:52]

[mphilipp]

Dat zou in handen van lokale overheden moeten liggen.

Moet de overheid apps controleren?

[Elefant]

Je wil dat de overheid wel wetgeving maakt, jou beschermt, recht spreekt, maar vertrouwt ze beheer van gegevens van burgers niet toe? Dat is een irrationeel standpunt. Ja ze moeten niet alleen veilige apps maken, ze moeten ook de gegevens beheren in de backend. Ze moeten op zijn minst de burger een veilig alternatief bieden. Kan de overheid dat niet? Dat wordt gemakkelijk geroepen, maar de mislukkingen komen vooral voort uit de uitbestedingen van de overheid. Dat overheid heel efficiënte operaties kan opzetten bewijst wel de giro bank die veel innovatiever en goedkoper was dan de privaat banken. We hebben dat alleen actief lopen afbreken met totaal mislukt privatiseringsbeleid.

We kunnen niet zonder overheid. Daarbij is de overheid de beste, democratisch controleerde macht. Google is gewoon een commando gestuurd machtsapparaat zonder democratie of veiligheidsmechanismen. Als we zo door gaan controleren de grote corporaties onze overheid en worden louter verlengstukken van het grootkapitaal. Moet je eens afvragen waar je dan nog je recht kan halen? Al die aanvallen op de overheid ondermijnen juist onze rechtsstaat.

Als je de overheid niet vertrouwt, ben je dan ook voor:

• Google indentiteitskaarten?
• Google rechtsspraak?
• Google ordehandhavers?
• Google gevangenissen?
• Google leger?

We hebben nu al Google inlichtingendienst, Google monitoring, Facebook ordehandhaving, Google persoonlijk gegevensverstrekking (mensen opsluiten in bubble), en Google neemt ook het onderwijs over. We staan Google een macht toe die ze in geen tienduizend jaar zou mogen hebben. Dit is een overval op onze vrije samenleving, maar mensen lopen te slapen. Is dat vergezocht? Dan heb je zeker even gemist wat het communisme heeft gedaan. Ook dat was een internationaal opererende samenzwering die nationale staten aanviel en in Rusland de hele bevolking heeft onthoofd (De bourgoisie, alles wat opleiding had of zelfstandig inkomen verdiende werd weggemaaid (50 miljoen mensen)). Al die propaganda tegen nationalisme spreekt dan ook weer boekdelen. Volkeren mogen geen eigen identiteit hebben, en hun cultuur wordt actief afgebroken door wereldwijd dezelfde verleidelijke consumptie junk op te dienen. Landen die internet afschermen zijn boeven, enz.

De privatisering van de overheid is een aanslag op onze rechtsstaat en heeft slechts monopolies opgeleverd waar geen goede controle op is. Niet de overheid is de vijand van de vrije markt maar de corporaties. Adam Smith noemde ze al een samenzwering tegen de vrije markt. Wij noemen ons nog een "vrije markt economie" maar de meeste markten zijn juist onvrij geworden.

Red het kapitalisme van de kapitalisten! Econoom Bas Jacobs legt uit waarom
Vrije markt is allerminst garantie voor ontwikkeling
Vrije markt bestaat uit 23 sprookjes
Econoom Thomas Philippon: 'De Amerikanen hebben de vrije markt opgegeven'

[Reactie gewijzigd door Elefant op 23 juli 2024 04:52]

[mphilipp]

Sjeeses....ik zei helemaal niet wat ik wilde. Ik vroeg alleen of je bedoelde dat de overheid apps moet controleren.

[Elefant]

Sjeeses....ik zei helemaal niet wat ik wilde. Ik vroeg alleen of je bedoelde dat de overheid apps moet controleren.

Als je privacy schending wil aanpakken moet je Google als eerste aanpakken, anders is het een hypocresie en schijnvertoning. Dat is een beetje als de kwaliteit van de heroïne gaan controleren. Je legaliseert daarmee de grootschalige gegevensroof.

Dat is wat onze politiek doet door heel hard de andere kant op te kijken en zelf gebruik te maken van de gegevens die Google verzamelt, en onze patiëntengegevens onder te brengen bij Google. Dat deugt van geen kanten. De politiek is bezig de overheid af te breken en te ondermijnen tot het een soort verlengstuk wordt van het grootkapitaal.

Onze zelfstandigheid wordt stap voor stap afgebroken.

[Reactie gewijzigd door Elefant op 23 juli 2024 04:52]

[Bongoarnhem]

Meer dan 15.000 domeinen waar de informatie naar toegestuurd werd zijn allemaal te linken aan een kleine registrar, Galcom uit Israël. Awake stelt dat de registrar had moeten zien dat er iets niet in de haak was. Die registrar ontkent dat.

Is dit niet genoeg reden om die registar op een "zwarte" lijst te zetten.

off-topic:
Sorry van mijn taalgebruik, ik wide geen bevolkingsgroepen kwetsen.

[NielsFL]

Hoe zie je dit precies voor je? Deze registrar zal ook vele onschuldige domeinen beheren, waaronder mogelijk kritieke domeinen van banken, overheden, etc.

[Bongoarnhem]

Dat is voor mij ook een vraag, maar als de registar niet oprecht lijkt werkt het systeem niet als je het door de vingers zou zien lijkt me.

[supersnathan94]

Waarom? Hoe kan de registrar nou weten of het oprecht is of niet? Zou wat zijn als hij al het verkeer met DPI gaat scannen.

Nee absoluut slecht idee om een registrar hier in te betrekken als monitoring instantie.

[Bongoarnhem]

Awake stelt dat de registrar had moeten zien dat er iets niet in de haak was. Die registrar ontkent dat.

Hieruit maak ik op(zonder verder onderzoek) dat er en verdenking bestaat. Ik ben het met je eens dat de registar niet als opsporingsdienst moet functioneren. Maar er mag denk ik van een registar wel verwacht worden dat bij een vermoeden de juiste maatregelen worden genomen. Een onderzoek door de veiligheidsafdeling/ misschien een melding bij de lokale autoriteiten.

Nu roepen ze dat ze het niet hadden kunnen weten, klinkt mij als struisvogel gedrag.

[supersnathan94]

Sorry van mijn taalgebruik, ik wide geen bevolkingsgroepen kwetsen.

Stel je niet aan. Dat ding heet sinds jaar en dag blacklist. Heeft niks met slavernij of racisme te maken.
Gebruik gewoon zwarte lijst, mijn permissie heb je.

[Verwijderd]

Wat? Nee. Wellicht is die 15.000 voor heen < 1% van alle aanvragen en hebben ze (als ze enigszins degelijk zijn) aanvragen geautomatiseerd. Hoe ga je precies controleren of je miljoenen domeinen niet stiekem voor malware worden gebruikt als niemand dit aangeeft?

[PearlChoco]

Ik vraag mij af wat er zou gebeuren moest ontdekt worden dat Albert Hein ontbijtgranen verkoopt van een onbekend merk, waarbij er kleine cameraatjes verstopt zitten in de verpakking die videoopnames nemen van jouw binnenskamerse activiteiten en die doorsturen naar derden.
Het land, de media en de publieke opinie zou in rep en roer staan.

Dit is net hetzelfde.

[YopY]

De vergelijking is wat krom; in principe is het geen appie hein maar een open marktplaats, waar elke dag nieuwe producten door wildvreemden neergezet worden. Soort Zwarte Markt of rommelmarkt.

Het probleem is hierbij dat Chrome geen goed reviewproces heeft voor extensies. De Appie Hein heeft dat wel - of in ieder geval een proces voordat een product in de schappen komt, zelfs dan komt het wel voor dat ze een verkeerde 'batch' hebben waardoor mensen ziek worden van de taugé of filet americain.

[PearlChoco]

Inderdaad.

Google zou zwaar op de vingers getikt moeten worden dat ze dergelijke producten op het marktplaats toelaten: zij horen eindverantwoordelijke te zijn, net zoals Albert Hein dat is.

En als ze daar niet toe in staat zijn, moet een dergelijk onveilige marktplaats maar de deuren sluiten. Ik vind dat tech bedrijven er heel vaak veel makkelijker vanaf komen dan bedrijven in andere sectoren.

[Gomez12]

Het probleem is hierbij dat Chrome geen goed reviewproces heeft voor extensies. De Appie Hein heeft dat wel - of in ieder geval een proces voordat een product in de schappen komt, zelfs dan komt het wel voor dat ze een verkeerde 'batch' hebben waardoor mensen ziek worden van de taugé of filet americain.

Het probleem is eerder dat er behalve continue monitoring er geen goed reviewproces te verzinnen is, je kan in je extensie gewoon zetten dat die over 6 maanden ander gedrag moet gaan vertonen, of als de server het zegt dat die zich anders moet gaan gedragen.

De enige daadwerkelijke manier zou zijn om extensies alleen nog maar via een soort google-proxy naar het internet te laten communiceren, zodat iemand altijd inzicht heeft in wat er verstuurd wordt. Alleen dit brengt wel weer privacy-issues met zich mee en dat je google moet vertrouwen qua die proxy.

Ander alternatief zou kunnen zijn een soort van local-proxy via wat de extensies alleen maar kunnen communiceren en dat je dan aan de gebruiker de communicatie van die local-proxy gaat tonen (zie je daar elke al je domeinnamen voorbij komen, dan kan je je afvragen of dat echt nodig is voor die extensie) alleen als je het weer bij de gebruiker neerlegt gaat men over naar binaire communicatie om het simpelweg slechter inzichtelijk te maken etc. En zo blijft de wapenwedloop doorgaan.

[mercury17]

Aangezien het niet de 1e keer is dat Google blundert met het reviewen / controleren van extensies kun je gewoon vaststellen dat het toelatingsbeleid niet deugt.
Daarnaast valt het mij op dat, als er op div. fora wordt geklaagd over problemen of vreemde zaken m.b.t. webbrowsers, het veelal om Chrome blijkt te gaan.
Persoonlijk kan ik ook niet begrijpen dat zoveel gebruikers zweren bij deze browser, ik wil hem voor geen goud op mijn systeem.

[Belecthor]

Dit is altijd zo pijnlijk aan de extensies van browsers. Ze vragen veelal een hele rits aan permissies om zaken te mogen inzien, maar je weet niet zo goed wat er precies met de informatie gedaan wordt. Ik vind het altijd 'eng' als er staat dat een extensie mag meelezen met de pagina en die angst is, als ik dit artikel lees, schijnbaar gegrond.

[dehardstyler]

Tja, maar om advertenties te blokkeren moet toch de inhoud zichtbaar zijn voor de extensie. Dus daar ontkom je helaas niet aan.

[YopY]

Hoeft niet; de 'goeie' adblockers werken door domeinen te blokkeren op netwerk niveau, die hoeven alleen de URLs die geopend worden te matchen met een blocklist. Addons zouden ook expliciet om netwerktoegang moeten vragen; de adblockers hebben alleen netwerktoegang nodig om hun blocklists op te halen, en dat zou ook handmatig kunnen.

[Bor]

Hoe ga je dat binnen een browser doen wanneer je niet weet welke content wordt opgevraagd?

[theblindman]

Je overhandigt als adblock-extensie gewoon een lijst van te blokkeren domeinen aan de webbrowser. Dat is in grote lijnen ook hoe adblockers in Safari bijvoorbeeld werken. Op deze manier kan+hoeft de adblock-extensie niet te weten welke websites je zoal bezoekt

[Menno_R]

Maar dan krijg je wel grote blokken waar ads zouden hebben gestaan en kan je die niet weghalen zoals gewoonen adblockers. Je maakt dan gewoon een "pi-hole extension"

[Verwijderd]

Waarom in 's hemelsnaam in je webbrowser?
Zo'n 90% van de blocklists zijn in feite gewoon bestanden met de opbouw die we al tientallen jaren kennen als hosts-bestand (binnen Windows en Linux omgevingen), als je deze content plaatst in je \windows\system32\drivers\etc\hosts of /etc/hosts blokkeer je het per definitie voor welke browser of applicatie dan ook. In principe gewoon het zelfde als Pi-Hole doet.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 04:52]

[NielsFL]

In Chrome is die optie er helaas niet. Je kunt via een proxy PAC wel een en ander doen, maar dan heeft de extensie dus de proxy permissie waarmee al het verkeer omgeleid kan worden.

[NielsFL]

Welke specifieke permissies denk je dan aan? Voor zover ik weet heb je hier toch echt webrequest en webrequestBlocking voor nodig met een <all_urls> scope. En dat geeft je automatisch toegang tot requestBody etc. Voor zover ik weet is er geen permissie die je puur en alleen URL's laat inspecteren.

[AB-Testing]

ze hebben ook toegang tot de pagina zelf nodig om de vrijgekomen plaats op te kuisen.
Anders krijg je veel whitespace op verschillende websites.

Er gebeurt dus wat meer dan enkel en alleen DNS blacklisting.
Bijkomend worden op meer en meer diensten de advertenties via het root domein zelf geserveerd, deze kun je niet blokkeren adhv DNS zonder de hele site ontoegankelijk te maken.

[TheMuffinDoctor]

Precies, hetzelfde met apps voor mobiele systemen die ook een reeks toestemmingen nodig hebben.
Sommigen geven nog aan wat ze met die informatie doen, maar het zou mooier zijn als dat verplicht werd vanuit het distributieplatform zoals de App/Play store en Chrome store.

Edit: Congruentiefoutje

[Reactie gewijzigd door TheMuffinDoctor op 23 juli 2024 04:52]

[sohus]

Je kan extensies alleen voor 1 domein toegang geven, dus een YouTube extensie alleen voor youtube.com. Voorkomt al een hoop ellende.

[Dark Angel 58]

Je kan extensies alleen voor 1 domein toegang geven, dus een YouTube extensie alleen voor youtube.com. Voorkomt al een hoop ellende.

Slim, dat biedt wel iets meer veiligheid, hoe kun je het instellen?

EDIT: gevonden!

Site Access
Allow this extension to read and change all your data on websites that you visit:
On click
On specific sites
On all sites

[Reactie gewijzigd door Dark Angel 58 op 23 juli 2024 04:52]

[Eustace]

Stel je hebt zo'n malafide extensie geïnstalleerd in Chrome, is die door deze opruimactie dan ook automatisch verwijderd uit Chrome (maw van je computer verwijderd)?

[Reactie gewijzigd door Eustace op 23 juli 2024 04:52]

[Polydeukes]

De makkelijkste manier (in Chrome) is:

• Ga naar Instellingen
• Klik op Veiligheidscheck
• Klik op Nu controleren

Er wordt dan o.a. gecontroleerd of je schadelijke extensies hebt geinstalleerd.

[telenut]

Laatste tijd had ik plots last van het feit dat mijn zoektermen in de adresbalk doorverwezen naar yahoo. Random, niet altijd, maar af en toe maar... En dan beginnen zoeken welke extensie het is... bijna onbegonnen werk als je er enorm veel hebt.
Uiteindelijk gevonden; het wat de Youtube Ratings Preview extensie. Die heeft altijd goed gewerkt, en nu plots bevat die dergelijke crap. Als je naar de reviews gaat kijken om te zien of je de enige bent... helaas door corona kan je geen reviews meer schrijven. Dus die blijft mooi 4 sterren hebben terwijl het eigenlijk crap geworden is.
Een manier om snel te zien welke extensies welke rechten hebben is er helaas niet...

[capronicus]

Klopt, extensies durven al eens van hand te wisselen dus een extensie die origineel goed functioneerde kan doorverkocht worden aan mensen met minder goede bedoelingen

[YopY]

idd, ik heb wel eens een verhaal gelezen van iemand die 15K ofzo aangeboden kreeg om zijn extensie over te nemen.

Ik bedoel het is aantrekkelijk omdat de meeste extensies hobbyprojecten zijn waar geen geld mee verdiend wordt.

[NostraDavid]

Oh my god, ik dacht dat ik gek werd! Ik heb dit probleem dus ook, maar wist niet waar dit vandaag kwam D:

edit: Ik heb YRP voor de gein geïnstalleerd en naar de code gekeken, maar kan niets vinden over yahoo of code waar ze ergens redirecten naar een andere site - zouden ze dat er uit hebben gehaald?

[Reactie gewijzigd door NostraDavid op 23 juli 2024 04:52]

[ggj87]

Is er ergens een lijst te vinden met welke extensies zijn verwijderd? Gemiddeld zijn die extensies elk zo'n 450000x gedownload, dat zijn toch wel populaire add-ons dan. Vaak kijk ik naar zulke dingen om te peilen of een extensie wel een beetje ok is maar dat gaat nu dus niet meer op

[-World-]

Klopt het dat Proctorio één van deze extensies was?
Als ik Proctorio in de Google Chrome Store intyp, krijg ik namelijk geen resultaten meer.

[Reactie gewijzigd door -World- op 23 juli 2024 04:52]

[Solopher]

Ik gebruik eigenlijk zo min mogelijk extensies, dit is één van de redenen. Daarnaast hebben extensions ook best veel invloed op de performance van je browser, een recente post waarin iemand dit heeft uitgezocht: https://www.debugbear.com...ension-performance-report

Het is ook de moeite waard om eens te kijken hoeveel resources een extensie gebruikt:
Dit kun je in de Chrome Task Manager bekijken: Om de Task Manager te openen: klik op de "Meer" knop (drie bolletjes rechtsboven): Meer tools -> Task manager
(vertaling kan niet helemaal kloppen, ik draai mijn OS/browsers in het Engels), deze processen zie je overigens o.a. ook terug je OS Task Manager, als Google Chrome Helper (dit zijn trouwens meer processen dan alleen extensies).

[MotorLum]

Ik vind het een knap staaltje organisatietalent om 15.000 domeinen te claimen en zodanig aan elkaar te rijgen dat je volledig controle hebt. Laat staan alle analytics en onderhoud dat er bovenop komt. Ik heb met mijn team al moeite om 150 domeinen met uiteenlopende websites en services de content, de traffic in goede banen te leiden.

[YopY]

Keyword daar is dat je "uiteenlopende" websites beheert; dit soort diensten hebben een one-size-fits-all model, een script dat een server en/of vhost instelt en wat standaard content neerzet.

[Deakers]

Meer dan 15.000 domeinen waar de informatie naar toegestuurd werd zijn allemaal te linken aan een kleine registrar, Galcom uit Israël.

Waar zijn deze domeinen dan fysiek gehost?
Komen we dan toch weer in Nederland uit ?


edit:typo

[Reactie gewijzigd door Deakers op 23 juli 2024 04:52]

[Gomez12]

Ehm nee, ik heb binnen een uur scriptje geschreven wat een oneindig aantal domeinen kan opzetten hoor.
Als jij even een registrar vindt die een free grace-period hanteert, dan heb jij binnen 2 uur 50.000 domeinen ingericht en al hoor.

Dit is niet netjes opgezet, dit is gewoon niet analytics erbij etc. Dit is gewoon 1 hostingplek inrichten en al je domeinen daarheen verwijzen.