Google Chrome past waarschuwingen voor mogelijk malafide downloads aan

Google Chrome gaat meer context geven bij zijn waarschuwingen voor mogelijk malafide bestanden die gebruikers downloaden. De Safe Browsing-functionaliteit maakt voortaan onderscheid tussen 'verdachte bestanden' en 'gevaarlijke bestanden'.

Verdachte bestanden worden als zodanig aangemerkt als niet duidelijk is of een bestand schadelijk is voor de gebruiker, schrijft Google in een aankondiging. In dit geval weet Safe Browsing minder zeker of een bestand daadwerkelijk malafide is. Bij gevaarlijke bestanden weet Google vrijwel zeker dat het om een malafide bestand gaat en is de kans op schade voor gebruikers groot. Gebruikers kunnen kiezen of ze een waarschuwing willen negeren of niet.

Om het verschil tussen beide soorten waarschuwingen duidelijk te maken, wordt gebruikgemaakt van verschillende kleuren, iconen en teksten. Gevaarlijke bestanden krijgen bijvoorbeeld een waarschuwing in rode tekst, terwijl de tekst bij verdachte bestanden in het zwart wordt weergegeven.

Wie gebruikmaakt van de Enhanced Protection-modus in Chrome, wordt gevraagd om de content van verdachte bestanden door te sturen naar Safe Browsing, zodat de bestanden voor het openen uitvoerig gescand kunnen worden. Op die manier kan nieuwe malware gevonden worden die Safe Browsing nog niet is tegengekomen, evenals gevaarlijke bestanden die op nieuwe websites worden gehost. Google stelt dat de inhoud van het bestand uitsluitend voor beveiligigingsdoeleinden wordt gescand en wordt weggegooid nadat een oordeel is gegeven.

Reacties (18)

[jaenster]

Opzich een goed idee, maar het word soms wel lastig voor een kleine developer om dingen "legitiem" aan te beiden. Eventjes aangenomen dat dit gaat om signen van executables?

[Reptile209]

Dat zou op zich geen issue moeten zijn, althans: niet anders dan nu. Als je een kleine devver bent, dan zal je .exe als 'suspicious' worden aangemerkt. En terecht: het is een executable, dus die wil je niet zomaar downloaden en uitvoeren.
Om te 'upgraden' naar een Dangerous status, moet je .exe al op een blacklist staan als een bevestigde bedreiging. Zolang je programma verder goed netjes is, kom je daar dus niet op terecht.

[DhuumDhuum]

Waar is zo'n blacklist dan gebaseerd op de naam, een hash, de bron of iets anders? Want alle drie lijken mij makkelijk te spoofen.

Daarentegen lijkt het me niet dat de browser code analyse gaat doen. Dus hoe voorkom je met een blacklist een schijnveiligheid van "Chrome zei is niet gevaarlijk"?

[Reptile209]

Dat weet ik niet. Maar in het artikel staat:

Verdachte bestanden worden als zodanig aangemerkt als niet duidelijk is of een bestand schadelijk is voor de gebruiker, schrijft Google in een aankondiging. In dit geval weet Safe Browsing minder zeker of een bestand daadwerkelijk malafide is. Bij gevaarlijke bestanden weet Google vrijwel zeker dat het om een malafide bestand gaat en is de kans op schade voor gebruikers groot.

Dat kan dus bijna alleen maar een blacklist zijn, of een on-the-fly scan. Denk dat Google op basis van URL, datum, file size, bestandsnaam, enz. er wel een aardige slag naar kan slaan.
Stel je probeert een virus te pushen via een spam-email. Dan moet er in die mail een URL staan om iets te downloaden. Bij de eerste gebruiker kan Google wellicht zelfs een online scan doen, en dan het bestand blacklisten. Bij gebruiker 2 t/m n kan je op basis van de URL al reageren.

[The Zep Man]

Opzich een goed idee, maar het word soms wel lastig voor een kleine developer om dingen "legitiem" aan te beiden. Eventjes aangenomen dat dit gaat om signen van executables?

Kan je niet een executable in een ZIP-bestand aanbieden? Of scant Chrome die als die binnen is?

[Reactie gewijzigd door The Zep Man op 25 juli 2024 10:49]

[Oon]

Dan nog zegt Windows tegenwoordig gewoon 'bestand niet gemaakt op deze PC en heeft geen certificaat, dus gevaarlijk'.
Klopt ergens ook wel, maar je moet tegenwoordig als developer honderden euro's betalen om je executables te signen voor ieder platform. Voor bijv. MacOS alleen al ben je zo'n 100 euro per jaar kwijt.

[runelaenen]

Voor bijv. MacOS alleen al ben je zo'n 100 euro per jaar kwijt.

En daarmee is Apple (in tegenstelling tot wat we van hun gewend zijn) de goedkope in het clubje. Code Signing Certificates die door Windows gecheckt worden, kosten vanaf 200 dollar per jaar, en kunnen afhankelijk van de voorwaarden nog 10-tallen keren meer kosten.

[jaenster]

In macos is het ook een stuk simpeler, malfiede software draait net als alle software in zijn eigen sandbox. Je moet expliciet toestemming geven om een bestand te openen vanuit een app ergens in een applicatie, in tegenstelling tot windows waar alles draait in user land, en bijvoorbeeld een ransomware kan dan alles wat de user kan bereiken, encrypten.

Op macos kan die ransomware eerst alleen bij zichzelf, en niks anders. Dat maakt de scans van de software ook een stuk gemakkelijker (en dus goedkoper)

[Reactie gewijzigd door jaenster op 25 juli 2024 11:59]

[Bor]

Bij mensen die enhanced safe browsing gebruiken wordt archived content ook gescanned.

[memphis]

Wat ik merk met Torrent files is dat eerder de herkomst bepalend is en niet de file zelf.

[Niema]

Zip wordt ook als verdacht aangemerkt. Volgens mij worden sowieso alle .crx bestanden geflagd buiten de extensive webstore. Als het kan zou ik van l die waarschuwingen af willen. Safe browsing defender en smartscreen kunnen uit, maar het blijft gezeur

[Bor]

Het signen van executable content is niet lastig. Het is een extra stap die je vanuit best practice dient te nemen maar moeilijk is het niet. Er komen wel extra kosten bij kijken, een geaccepteerd / erkend signing certificaat is niet gratis.

[bantoo]

Om dit een beetje verder uit te breiden: je bent zo 500 euro per jaar kwijt voor een cert en dan nog zal SmartScreen je niet zomaar doorlaten. Als je software maakt met weinig gebruikers zul je altijd nagscreens krijgen.

[Bor]

Mijn ervaring (op basis van een EV code signing certificaat) is anders moet ik zeggen.

OV certificates only offer advanced hashing with relief from Unknown Publisher Warning. And organizations have to organically build up their reputation for passing the Defender SmartScreen check.

Extended Validation Code Signing Certificate provides the highest security. Once CA issues it to the company, all systems recognize it as legitimate. As a result, EV Certificate integrated software never faces any warning.

[markg85]

Nog meer babysitting features....
Chrome doet al scanning op de achtergrond van je download. Gebruik maar is een langzame pc (een pi ofzo) en download dan maar is een groot bestand. Bij 100% is je Chrome onbruikbaar tot de scan klaar is en de pi in zijn geheel is ook praktisch onbruikbaar.

En dan heb je ook nu al de feature dat Chrome je "beschermt" tegen mogelijk schadelijke downloads waar je nog een keer extra op moet geven dat je echt wil downloaden.

Voor sommige mensen hebben deze features vast heel veel nut en beschermen ze de gebruiker. Maar voor mij en waarschijnlijk iedereen hier hebben deze features geen meerwaarde en zijn ze eerder irritant.

[maali]

benieuwd of demoscene 64K/4Ks van het type 'dangerous' worden... fout spul gebruikt dezelfde packers dus je krijgt altijd leuk false flags met downloaden (daarnaast, Windows Defender wordt er ook niet blij van)

[TheVivaldi]

Ik had dit een aantal dagen geleden al gemeld, aangezien Google hier al eerder mee begonnen was (https://www.ghacks.net/20...u-that-you-cannot-ignore/), maar nu dagen later ineens wel een artikel. Dit is al de derde keer in korte tijd dat ik iets indien, er niks mee wordt gedaan en een aantal dagen later verschijnt er alsnog een artikel met een andere submitter of op eigen houtje van de redacteur in kwestie. Het is geen ramp of zo en ik doe het ook niet voor de credits, maar het valt me gewoon ineens op. Maar dat terzijde.

In elk geval vind ik het best een goede stap, want het is zo veel duidelijker. Ik hoop alleen niet dat er teveel vals-positieven tussen zitten.

[Reactie gewijzigd door TheVivaldi op 25 juli 2024 16:41]

[STING]

Ergo, "Suspicious" betekent dat de Executable niet op een whitelist staat / signed is, en "Dangerous" dat de Executable op een blacklist staat?

Klinkt wel als een goede ontwikkeling ipv nu alles in 1 categorie.

[Reactie gewijzigd door STING op 25 juli 2024 12:03]