Mozilla verwijdert Firefox-add-on wegens stelen wachtwoorden

Mozilla heeft de Mozilla Sniffer-add-on, die door een onbekende ontwikkelaar is gemaakt, van zijn website verwijderd en op de zwarte lijst gezet. De add-on was in staat om wachtwoorden van Firefox-gebruikers te stelen.

De Mozilla Sniffer stond sinds 6 juni in de add-on-sectie op de website van Mozilla. Op 12 juli is de add-on verwijderd, nadat was ontdekt dat de browseruitbreiding logingegevens onderschepte en doorstuurde naar een website. Daarnaast is de sniffer op de blocklist gezet, waardoor Firefox de gebruiker zal aansporen om hem te de-installeren.

Volgens Mozilla is de add-on circa 1800 keer binnengehaald. Er zouden 334 Fifefox-gebruikers zijn die de malware hebben geïnstalleerd. Verder meldt Mozilla dat de site waar de sniffer zijn verzamelde inlogdata naartoe stuurde momenteel offline is. Ook benadrukt Mozilla dat het ondanks de naamgeving niets met de Mozilla Sniffer-add-on van doen heeft en dat er altijd een risico is als gebruikers ongecontroleerde add-ons uitproberen die een experimentele status hebben.

Mozilla meldt ook dat het versie 3.0.1 van CoolPreviews vanwege een kwetsbaarheid heeft verwijderd. Via een bug in de add-on en via aangepaste hyperlinks bleek het mogelijk om scripts te starten waarmee een pc is aan te vallen. Er zouden echter nog geen aanvallen via deze methode zijn uitgevoerd. Versie 3.0.1 en alle voorgaande versies zijn op de zwarte lijst gezet en in een nieuwe uitvoering van de add-on is de bug geplet.

Reacties (57)

[Ilya]

Goed gedaan maar ik vind het wel erg laat. Het is al een week bekend ofzo? Dat is lang op internet.

[XanderDrake]

Ergens begrijp ik het wel, je kan als bedrijf niet zomaar in het wilde weg dingen gaan doen zonder het overwegen van de in's en out's. Stel dat ze plots klaps een populaire add-on blocken zonder er goed over na te denken, dan krijgen ze het hele internet over hun heen.

Voor de rest vraag ik me af wie in de naam van Zeus onbekende, experimentele add-on's gaan installeren zonder te weten wat ze precies doen?

[mbb]

Volgens mij vrijwel worden (werden) altijd addons als niet compatible weergegeven als FF weer eens geupdate werd, waarna de nieuwe update van de addon weer als experimenteel werden weergegeven.
Dus als je en experimentele addon ziet kun je denken dat ie gewoon pas net geupdate is.
Of als de fuctionaliteit handig lijkt te zijn en nog niet in andere addons zit installeer hje meestal toch maar. (vertrouw het merk Mozilla)

[Tijger]

Liever dat dan dat users hun passwords gestolen krijgen? Dan maar wat geblog van blaatschapen voor lief nemen, het is niet alsof Mozilla een commercieel bedrijf is tenslotte.

[redwing]

Je zult toch echt eerst moeten weten dat de add-on ongeoorloofde dingen doet voordat je hem verwijdert. Deze add-on had nog de experimentele status wat ook betekent dat Mozilla er nog niet goed naar heeft gekeken (ze doen dan alleen een check op virussen e.d.)

[LordPan]

het is dan ook al 3 dagen geleden verwijderd.

[lenwar]

Dit is dan natuurlijk weer de keerzijde van het makkelijk add-ons kunnen maken voor een browser. Al met al is het wel superpraktisch (en leuk) natuurlijk, maar ja. Dit soort zaken roep je dan ook wel een beetje over je af.

[MicGlou]

Hoezo roep je dit soort zaken over je af? Dat er personen zijn die het proberen verbaasd mij niets, ik verbaas mij over het feit dat de add-on al was gepost en dat men er daarna pas achterkwam dat er iets niet in de haak was. Ik heb dus nu wel sterke twijfels over de controle die Mozilla uitvoert over ingediende add-ons.

[Xthemes.us]

Inderdaad, het wantrouwen dat je in je post beschrijft is misplaatst.
Als het niet de experimentele status had zou ik je gelijk geven, ik vind dat de controle die mozilla uitvoerd juist erg goed.. tenminste als je nagaat dat het een non-profit organisatie is en dit het eerste geval is waar ik iets over lees.. en dan ook nog eens als experimental bestempeld was (dat al aangeeft dat mozilla er nog niet goed naar gekeken heeft).

Ik vind dit een stuk minder erg dan als er bijvoorbeeld in de appstore schadelijke applicaties zouden staan (en dit is al voorgekomen) of dat er in de repositories van een betaalde Linux variant (Redhat/SLES) schadelijke software zou staan.

[MicGlou]

Ben ik totaal niet met je eens, zodra Mozilla dergelijke add-ons via hun kanalen online zet dan hebben ze daar een bepaalde verantwoordelijkheid over, experimenteel of niet. Het minste wat ze kunnen checken voordat ze het online gooien is wat de app nou ongeveer doet, gratis of niet die verantwoordelijkheid heb je nou eenmaal als je zo'n grote speler bent. In dit geval bleek het wel overduidelijk niet goed te zitten, als je het mij vraagt toch een redelijke fail van Mozilla. Wil niet zeggen dat Mozilla het normaal niet goed doet, maar je kan niet zeggen dat Mozilla geen blaam treft.

[drdelta]

Hoezo is het een faal van Mozilla?Het is gewoon een addon die niet door Mozilla erkent wordt, en dus als experimenteel wordt geclassificeerd. En ze geven zelf aan, dat deze addon niet gecontroleerd is oid. Waar is de faal?

[Foamy]

Welke controle?

Mozilla Sniffer was not developed by Mozilla, and it was not reviewed by Mozilla. The add-on was in an experimental state, and all users that installed it should have seen a warning indicating it is unreviewed. Unreviewed add-ons are scanned for known viruses, trojans, and other malware, but some types of malicious behavior can only be detected in a code review.

[johnkeates]

Ja, maar als het moeilijk was en er op afstand software aangepast werd dan was dat weer een reden om te huilen.. het lijkt ook nooit goed te zijn in de consumenten ict wereld

[Vetsmelter]

Als het je bedoeling is om iemand anders passwoorden naar en random server te sturen om de pc gebruiker te pesten dan installeer je idd Mozilla Sniffer op diens PC.

Add ons installeren vereist helaas geen log in of master password in Firefox

De add on is ondertussen verwijderd, helaas ook de beschrijving van wat het veronderstelde te doen en waardoor 1800 mensen het al dan niet als "cadeautje" hebben geïnstalleerd.

Naar verluidt stond Mozilla Sniffer aangeduid als "experimental"

[Little Penguin]

Op het moment dat je toegang hebt tot iemand's computer hoef je geen add-on meer te installeren om privégegevens uit te lezen...
De opmerking over een login of wachtwoord voor het installeren van add-ons is slaat dan ook nergens op.

Verder was de add-on ook experimenteel en moest je dus al een account op addons.mozilla.org hebben om 'm uberhaupt te kunnen installeren...

[Vetsmelter]

En wat wilt u nu duidelijk maken?
We hebben het wel over het programma Firefox en Logingevens buitmaken , niet over een computer en privegegevens in het algemeen

- die in Firefox bewaarde loginggevens zijn (als het goed is beveiligd) door een Firefox master password.

- helaas kan iemand even Firefox opstarten en een add on installeren ZONDER enige master password te hoeven ingeven. Of het nu uitonwetendheid is of kwaadwillend.

-tegenwoordig gebeurt heel wat in de browser in sommige bedrijven (denk aan Zoho Suite bijv). Op de "computer" is dan niet zo veel te vinden.

(-misschien was deze Mozilla sniffer wel te configureren en stond de standaard server nog op de testserver ingesteld.)

Slaat nergens op, nietwaar?

[Drexz]

helaas kan iemand even Firefox opstarten en een add on installeren ZONDER enige master password te hoeven ingeven. Of het nu uitonwetendheid is of kwaadwillend

Je kunt ook firefox opstarten en dan kijken bij extra -> opties -> beveiliging -> opgeslagen wachtwoorden.

Daar zie je ook zonder password in te voeren alle opgeslagen wachtwoorden.

[humbug]

Ehm, vaak wordt er toch echt om extra rechten gevraagd voor het installeren van software. Vergeet niet dat sommige computers door meerdere mensen gebruikt worden en het vaak wel handig is om controle te hebben over een uitrol van een product binnen een bedrijf.

Ook is het niet zo dat als je toegang hebt tot een machine je automatisch ook toegang hebt tot de prive gegevens. Je kan bijvoorbeeld lang zoeken naar mijn email password op mijn computer. Snif je echter de data van mijn webbrowser waar ik hem handmatig intik, heb je hem wel.....

[Vetsmelter]

Waarom houden we het niet even bij het onderwerp Firefox als entiteit binnen de computer?
Dat is nu net het probleem: je computer mag nog zo clean zijn, er mag een admin password gevraagd worden voor elke miezerige aanpassing in software of voor elke software installatie...

Als de browser deze policy niet doortrekt dan wordt die browser alsnog een virtuele microbiotoop van allerlei troep add ons.

Er dient een betere beveiligingsstructuur te komen in Firefox.

Mail in browser, bankgegevens in browser, boekhouding in browser, ERP en CRM in browser.
Een browser zonder beveiliging tegen vrije installatie add-ons in 2010 is net als een XP machine die op Admin werkt: Heel 2001.
Standaard password beveiliging in Firefox tegen het installeren van ongewenste of privacy gevaarlijke add ons geintegreerd met het security framework van het OS.
Hoe doet IBM dat die zijn gebruikers Firefox aanraadt?

[Verwijderd]

slecht dat er geen virus scanner is die dat ding heeft onderschept,
maar toch gelukkig dat ze hem hebben gevonden en op de black-list is gezet.
goed werk van Mozilla dat ze er snel bij zijn.

[Cafe Del Mar]

Iets zelf installeren dat van tijd tot tijd data doorstuurt, kan je moeilijk een virus noemen. Er zijn ook add-ons die bv bookmarks enzo synchen. Hoe verwacht je dat een antivirusprogramma het onderscheid maakt?
De eindgebruiker moet nog altijd wel een beetje gezond verstand hebben, in het dagadagelijkse leven is dat zo, waarom zou het internet anders zijn?

[.oisyn]

Onzin, het ding is gewoon malware, en dus kan een virusscanner het tegenhouden. Volgens jouw redenatie zou geen enkele malware tegen gehouden moeten worden door een virusscanner. Immers, het is een programma dat je opstart en mogelijk bestanden aanpast en gegevens doorstuurt, hoe moet een virusscanner het onderscheid maken? Nonsens natuurlijk

Hoe verwacht je dat een antivirusprogramma het onderscheid maakt?

Een antivirusprogramma werkt voornamelijk met blacklists. Het heeft ook wel heuristieken om verdachte omstandigheden te onderscheppen, maar over het algemeen zoekt het gewoon naar signatures van al bekende virussen en andere malware. Maar voordat het zover is moet iemand het natuurlijk wel ontdekken en bekend maken bij de antivirus instanties alvorens de scanner het ding kan herkennen en weren. Daar is het waarschijnlijk nog te kort dag voor.

[Reactie gewijzigd door .oisyn op 26 juli 2024 16:02]

[Verwijderd]

ze kunne die dingen toch gewoon mankeren als possible thread of gaat dat niet zo makelijk?
de gemiddelde pc gebruiker heeft genoeg troep zo als spyware/backdoors enzo op zijn pc staan
en als het dan eens fout gaat dan proberen ze de fout in andermans schoenen teschuiven, als je een goeie virusscanner die up to date is op je pc heb staan kan er minder snel iets fout gaan , tenzij het virus of andere threads nog niet bovenwater is gekomen bij ,panda of andere dergelijke aanbieder van anti virus programma's

[Justice]

Tsja waarom is het in het addon framework van firefox mogelijk voor een addon om passwords in te lezen? Misschien dat ze dit probleem aan moeten pakken, aangezien deze addons alleen binnen firefox draaien zien mensen dit niet als een programma.

[Zer0]

Sommige addons moeten juist de passwords lezen, anders functioneren ze niet. Xmarks bijvoorbeeld zal geen passwords synchroniseren als hij deze niet kan lezen.

[nutty]

Vreemde opmerking van Mozilla dat er in dit geval het nodig zou zijn de sourcecode te doorsnuffelen om verdachte acties op te sporen.
Een Scanner als n.i.s. met radar en weet ik wat allemaal gaat gelijk moord en brand schreeuwen wanneer er verdacht verkeer naar een server is.
Zonder meer slordig van Mozilla,Ze moet gewoon alle software waarvan ze niet 100% zeker zijn, afkeuren voor gebruik in hun browser,dus eigenlijk andersom dan zoals het nu gebeurt.
Maar ja dan heb je minder add-on's en dat maakt de browser minder populair,en das precies het omgekeerde van wat ze willen.
Maar deze berichten maker hm ook niet populairder.

[Xthemes.us]

1) Het was experimental bestempeld en dus niet zo goed gecontroleerd als extensions die niet als experimental worden bestempeld.
2) Door punt 1 heb je een account bij mozilla nodig om het uberhaupt te kunnen installeren.
3) Het is geen virus of dergelijke, het gebruikt dezelfde functies als waar een perfect normal werkende extension ook toegang tot heeft.
4) De eerste comment op het bronartikel lijkt aan te tonen dat dit net zo goed mogelijk had kunnen zijn bij Google Chrome.

Ik vind niet dat Mozilla hier fout heeft gehandeld, de gebruikers namen een risico en dit heeft (voor het eerst?) nare gevolgen heeft. Mozilla heeft hierna het onbeschikbaar gemaakt waardoor verdere narigheid wordt voorkomen.

[airell]

Wat als FF deze add-on ook direct deactiveerde/deinstalleerde? Lijkt me wel zo veilig... of was dit dan het hek van de dam, zoals google malware van Android verwijderd?

[Xthemes.us]

Versie 3.0.1 en alle voorgaande versies zijn op de zwarte lijst gezet en in een nieuwe uitvoering van de add-on is de bug geplet.

Neem aan dat deze lijst word vergeleken op hetzelfde moment als dat Mozilla controlleerd of er updates voor je addons zijn (bij het opstarten en eens in de zoveel tijd dat het draait).

[Verwijderd]

Mensen die roepen 'waarom zou je een sniffer installeren' hebben duidelijk geen idee van waar ze het over hebben.

Een sniffer is erg handig wanneer je wilt weten welke paketten er verstuurd worden. Deze verwijderde addon is gebaseerd op een andere Mozilla addon (waarvan ik de naam kwijt ben) die Post en Get data kan lezen en aanpassen. Erg handig als je bijvoorbeeld wilt weten hoe je CRON facebook logins kan doen.

Ik had deze sniffer geinstalleerd en kom er nu via tweakers pas achter wat dit programma dus eigenlijk doet. Van Mozilla heb ik wel de melding gehad dat de sniffer is verwijderd "omdat deze instabiel is". (Blijkbaar kunnen ze op afstand add-ons verwijderen? )

Anyway, ik ga ff mijn wachtwoorden veranderen. Later!

[EDIT]

Als het programma 'Header sniffer' of zoiets had geheten (tenminste, in de originele omschrijving stond als ik het goed begrijp dat het een programma zou zijn voor het sniffen van headers), dan is het wat anders.
Ik vat in ieder geval 'Mozilla sniffer' op als een sniffer voor Mozilla, dus voor Firefox zelf.

[Verwijderd]

En "smart bookmarks bar" vat ik op als een bookmarks bar die alleen relevante bookmarks laat zien.

Kortom: De naam zegt niets en als het op de Mozilla site staat vertrouw ik het.

[Pyr0wl]

Ik denk dat de beschrijving van deze addon waarschijnlijk iets in de trend van "deze addon sniffed het binnenkomende en uitgaande verkeerd van je browser" was .. ofzo iets? Moest er zo geen beschrijving hebben gestaan, zou het gewoon uitermate louche zijn en zouden er maar zeer weinig mensen zich aan wagen gok ik.

Maarja, je hebt natuurlijk ook mensen die gewoon een hele zooi aan "meest populaire addons" installeren zonder ook maar enig flauw benul te hebben van wat het doet en wat ze er mee zijn.

[mesm90]

1800 keer binnengehaald en 334 keer geinstalleerd,
bij mijinstalleren gedownloade add-ons/extensie's zich meteen in firefox.

heeft deze dan 5x een update gehad in die ene maand?

[churchill9]

misschien werkte het niet en hebben de zelfde gebruikers hem 5 opnieuw geinstalleerd