Μια συντονισμένη επιχείρηση εξαπάτησης αποκαλύφθηκε στο Chrome Web Store, όπου 152 επεκτάσεις (extensions) «ζωντανής ταπετσαρίας» (live wallpaper) εντοπίστηκαν να καταγράφουν κρυφά δεδομένα χρηστών. Παράλληλα, παραποιούσαν την οργανική κίνηση της Google με σκοπό να διογκώσουν τεχνητά τα διαφημιστικά τους έσοδα, παρόλο που υπόσχονταν στις ρυθμίσεις απορρήτου ότι δε συλλέγουν καμία πληροφορία.
Σύμφωνα με το ρεπορτάζ της Abinaya, η απειλή αυτή εκμεταλλεύεται τις επεκτάσεις που αλλάζουν την καρτέλα νέας σελίδας (new-tab) για να μετατρέψει τις αναγκαστικές επισκέψεις σε δήθεν νόμιμη κίνηση αναζήτησης, μολύνοντας τα δεδομένα ανάλυσης για τους διαφημιστές και την ίδια την Google.
Chrome: Η δομή του δικτύου και η ψευδής δήλωση απορρήτου
Η ομάδα έρευνας απειλών της Socket ανακάλυψε ότι αυτή η οικογένεια των 152 επεκτάσεων αναπτύχθηκε από έναν κοινό πηγαίο κώδικα, αλλά διασκορπίστηκε σε 38 λογαριασμούς εκδοτών και τρία εμπορικά σήματα:
- tabplugins[.]com
- yowgames[.]com
- chromewallpaper[.]com (το οποίο ανακατευθύνει στο owhit[.]com)
Οι επεκτάσεις χρησιμοποιούν δημοφιλή θέματα όπως anime, παιχνίδια, ποδόσφαιρο και αυτοκίνητα για να προσελκύσουν εγκαταστάσεις, έχοντας συγκεντρώσει τουλάχιστον 105.000 χρήστες.
Στην καρτέλα «Πρακτικές απορρήτου» του Chrome Web Store, οι καταχωρίσεις δήλωναν ψευδώς ότι δεν συλλέγουν, δεν πωλούν και δε μεταφέρουν δεδομένα χρηστών. Ωστόσο, η συνδεδεμένη πολιτική απορρήτου τους παραδεχόταν ξεκάθαρα ότι καταγράφει διευθύνσεις IP, τύπο προγράμματος περιήγησης, παρόχους Διαδικτύου (ISP), χρονικές σημάνσεις, αριθμό κλικ και λεπτομέρειες συσκευής, τα οποία στη συνέχεια μοιράζονταν με τις πλατφόρμες Google AdSense, DoubleClick, Google Analytics και άλλους τρίτους διαφημιστικούς συνεργάτες.
Πώς παραποιούσαν την οργανική αναζήτηση της Google
Μια υποομάδα 54 επεκτάσεων που βασίζονταν στο πρότυπο του tabplugins προχωρούσε τη νοθεία ένα βήμα παραπέρα, πλαστογραφώντας την προέλευση της επισκεψιμότητας:
- Κατά την εγκατάσταση: Η επέκταση άνοιγε αυτόματα μια καρτέλα προς το tabplugins[.]com με τις παραμέτρους utm_source=google&utm_medium=organic. Αυτό ανάγκαζε τα εργαλεία analytics να καταγράψουν την επίσκεψη σαν ο χρήστης να είχε ανακαλύψει τον ιστότοπο μέσω μιας κανονικής αναζήτησης στο Google.
- Κατά την απεγκατάσταση: Η επέκταση εκτελούσε μια ειδικά διαμορφωμένη ανακατεύθυνση μέσω του συνδέσμου[https://www.google.com/url](https://www.google.com/url)?…, η οποία μιμούνταν ακριβώς τη μορφή και τα ψηφιακά αναγνωριστικά (tokens) που χρησιμοποιεί η Google όταν κάποιος κάνει κλικ σε ένα πραγματικό αποτέλεσμα αναζήτησης. Έτσι, το σήμα απεγκατάστασης φαινόταν στα συστήματα ως ένα αυθεντικό ανθρώπινο κλικ.
Αυτός ο μηχανισμός επέτρεπε στον διαχειριστή να παρουσιάζει την κίνηση αυτή ως υψηλής αξίας «οργανική αναζήτηση», αυξάνοντας τεχνητά τη δημοτικότητα και την αξιοπιστία των ιστοσελίδων του σε διαφημιστές και προγράμματα συνεργατών (affiliate).
Αντι-ιατροδικαστική συμπεριφορά και διαφημιστική εκμετάλλευση
Κάθε μία από τις επεκτάσεις που αναλύθηκαν παρουσίαζε κρυφή αντι-ιατροδικαστική (anti-forensic) συμπεριφορά. Σε κάθε εκκίνηση της επέκτασης, το background script εντόπιζε και διέγραφε κάθε βάση δεδομένων IndexedDB που ήταν προσβάσιμη από την ίδια την επέκταση, ώστε να μπορεί να μηδενίζει αθόρυβα οποιαδήποτε μελλοντική τηλεμετρία που θα μπορούσε να τις καταγράψει.
Οι επεκτάσεις δεν εισήγαγαν διαφημίσεις σε τυχαίους ιστότοπους. Αντίθετα, ανακατεύθυναν τους χρήστες σε δικά τους domains που ήταν γεμάτα με αυτοματοποιημένες διαφημίσεις, χρησιμοποιώντας εργαλεία όπως το Google Ad Manager, το Xandr/AppNexus και το Google Analytics 4 για την παρακολούθηση των χρηστών.
Για τους καθημερινούς χρήστες, ο κύριος κίνδυνος είναι η παραβίαση του απορρήτου τους και η ακούσια συμμετοχή τους σε ένα δίκτυο απάτης, και όχι η ολοκληρωτική παραβίαση της συσκευής τους. Οι ομάδες ασφαλείας συμβουλεύονται να αναζητούν επεκτάσεις Manifest V3 (MV3) που εκτελούν βρόχους διαγραφής IndexedDB κατά την εκκίνηση και ανοίγουν αυτόματα συνδέσμους με παραμέτρους Google organic marketing.
