Команда исследователей угроз Socket выявила масштабную операцию по массовому распространению расширений для браузера Chrome, выдающих себя за "живые обои" для новой вкладки. Под видом безобидных тем оформления эти программы занимаются фальсификацией источников трафика, скрытым сбором персональных данных и вводят пользователей в заблуждение относительно своей политики конфиденциальности. Под угрозой оказались около ста тысяч установок.
Описание
Речь идёт о 152 расширениях, построенных на единой кодовой базе, но опубликованных через 38 различных аккаунтов в Chrome Web Store. Они разделены на три группы, каждая из которых использует один из трёх фирменных доменов: tabplugins[.]com, yowgames[.]com и chromewallpaper[.]com. Общее число установок, по данным магазина, превышает 105 тысяч. Все эти расширения объявляют на странице в магазине, что не собирают и не используют пользовательские данные. Однако привязанная к ним политика конфиденциальности утверждает прямо противоположное. Согласно этому документу, расширения логируют IP-адреса, данные об интернет-провайдере, количество кликов и источники переходов, а затем передают эту информацию рекламным партнёрам, включая системы Google AdSense и DoubleClick.
Особого внимания заслуживает группа из 54 расширений, использующих более новую версию шаблона tabplugins. Они не просто собирают данные, но и активно подделывают аналитику трафика. При установке расширение открывает вкладку с адресом, который помечен параметрами utm_source=google&utm_medium=organic. Такая разметка заставляет системы веб-аналитики считать, что посетитель пришёл на сайт оператора через органический поиск Google - то есть просто нашёл страницу в результатах поиска и нажал на естественную, нерекламную ссылку. В действительности это не так: вкладку открыло само расширение. Ещё более изощрённый приём применяется при удалении программы. Расширение использует механизм setUninstallURL для отправки запроса на адрес google.com/url, обёрнутый так, что он имитирует настоящий переход по результату поиска Google. В параметры ved и usg вставлены подписанные токены, которые Google добавляет к своим перенаправлениям. В результате аналитические системы видят то, чего не было: будто бы пользователь кликнул по результату поиска и ушёл на сайт оператора. Таким образом, расширения фабрикуют сигнал "органический поиск", который считается самым ценным для рекламодателей и аффилиатных сетей, поскольку свидетельствует о реальном интересе аудитории.
Каждое расширение из этого семейства содержит скрытый механизм противодействия судебной экспертизе. При каждом запуске сервис-воркера (фонового процесса расширения) выполняется перебор всех баз данных IndexedDB в собственном контексте расширения и их принудительное удаление. IndexedDB - это локальное клиентское хранилище, которое может использоваться для накопления аналитики или кеширования идентификаторов. В текущей версии расширения не записывают в это хранилище никаких данных, поэтому функция ничего не удаляет. Однако сам факт её присутствия без уведомления пользователя и без легитимной причины является признаком недобросовестного поведения. Специалисты подчёркивают, что это не может иметь никакого оправдания в программе для показа обоев.
Хотя расширения не внедряют рекламу непосредственно на просматриваемые пользователями сайты, их модель монетизации построена на перенаправлении трафика. После установки или удаления расширение принудительно открывает страницу оператора, на которой размещён набор рекламных объявлений. Для показа объявлений используются технологии пребід-хедер-биддинга от Advergic, площадки Google Ad Manager, AppNexus, PixFuture и SmileWanted. Создатели расширений зарабатывают на том, что превращают установки в искусственный трафик, который затем выдают за естественный поисковый. Эта схема вводит в заблуждение не только рекламные сети, но и самих владельцев сайтов, которые могут переплачивать за привлечение "пользователей", не являющихся реальными людьми.
Операторы приложили усилия, чтобы затруднить блокировку всей сети. Распространение одного и того же вредоносного шаблона под несколькими десятками разных аккаунтов издателей делает бесполезным удаление одного аккаунта - остальные продолжают работать. Кроме того, при проверке в Chrome Web Store расширения прошли модерацию несмотря на очевидные дефекты. У трёх расширений код сервис-воркера содержит синтаксическую ошибку - отсутствующую кавычку, из-за чего фоновый скрипт не выполняется вовсе. Тем не менее они были опубликованы, что говорит о невнимательности проверяющих или о массовом характере публикации.
Исследователи связывают эту деятельность с мелкими коммерческими командами, возможно, работающими из Турции. На это указывают турецкие имена в контактных данных одного из доменов и адреса электронной почты, однако точная атрибуция не установлена.
Для защиты пользователям рекомендуется немедленно удалить любые расширения "живых обоев", загруженные с упомянутых доменов или неизвестных издателей. После удаления следует проверить настройки новой вкладки и поисковой системы в Chrome. Команды безопасности могут искать характерные признаки: строку "Deleted IndexedDB database:" в консоли, вызовы setUninstallURL на адреса с google.com/url или код, открывающий вкладку с параметрами utm_source=google&utm_medium=organic. Отчёт Socket зафиксировал, что все 141 доступное расширение используют идентичную сигнатуру, а 54 из них дополнительно подделывают атрибуцию Google.
Несоответствие между заявлением "не собираем данные" в магазине и реальной политикой конфиденциальности, признающей сбор IP, ISP, данных о кликах и передачу рекламным сетям, является прямым нарушением правил Chrome Web Store. Google предупреждает, что такие расхождения ведут к удалению всех расширений владельца и блокировке его аккаунтов. Пока неизвестно, приняты ли меры со стороны компании, но обнаруженная сеть продолжает оставаться активной угрозой для десятков тысяч пользователей.
Индикаторы компрометации
