فخ إضافات كروم: كيف تحولت إضافات "الخلفية الحية" إلى برمجيات إعلانية داخل المتصفح

المقدمة

لم يكن الأمر يبدو كحملة برمجيات خبيثة تقليدية. بل بدا وكأنه تخصيص. وهذا ما يجعل إساءة استخدام إضافات المتصفح فعالة إلى هذا الحد: أداة تعد بمظهر بصري جذاب يمكن أن تتسلل إلى المتصفح، ثم تبدأ في تشكيل ما يراه المستخدمون وكيف يتصرف المتصفح. في هذه الحالة، ارتبط أكثر من 50 إضافة في Chrome جرى تسويقها كأدوات "خلفية حية" بعملية برمجيات إعلانية يُقال إنها أثرت في نحو 30,000 مستخدم.

الدرس التقني واضح لكنه مهم. فبمجرد تثبيت الإضافة، تصبح داخل نطاق الثقة الخاص بالمتصفح. وهذا يمنحها وصولا أكبر بكثير من صفحة ويب عادية، خاصة إذا منح المستخدمون أذونات واسعة. وحتى وقت كتابة هذا المقال، لم تكن المعلومات العامة قد حددت بالكامل السبب التقني الجذري، أو النطاق الكامل للمستخدمين المتأثرين، أو ما إذا كانت أي أنظمة لاحقة قد تعرضت للاختراق.

حقائق سريعة

• ارتبط أكثر من 50 إضافة في Chrome بعملية برمجيات إعلانية داخل المتصفح.
• جُرى تقديم الإضافات على أنها أدوات "خلفية حية".
• استخدمت الحملة ما لا يقل عن ثلاث حسابات لناشرين.
• جرى التوزيع عبر متجر Chrome Web Store وبوابات تنزيل تابعة لجهات خارجية.
• قُدّر أن نحو 30,000 مستخدم قد تأثروا.

ما الذي يجعل هذه التقنية فعالة

تعد إضافات المتصفح مسارا ذا قيمة عالية للإساءة لأنها تستطيع طلب الوصول إلى المواقع التي تمت زيارتها، ومحتوى الصفحات، ونشاط المتصفح. يصنف MITRE ATT&CK إضافات المتصفح الخبيثة كأحد أساليب الإساءة، وهو ما ينطبق جيدا على هذه الحالة: فالإضافة ليست مجرد تطبيق، بل مكوّن ذو امتيازات يمكنه التلاعب بما يتم تحميله داخل المتصفح.

أوضح مؤشر تقني هو الإشارة إلى محتوى HTML عن بُعد. هذا الوصف لا يثبت تنفيذ تعليمات برمجية عن بُعد. والأرجح أنه يشير إلى صفحات أو أصول يسيطر عليها المهاجمون يتم جلبها وعرضها من الشبكة. ومن منظور دفاعي، هذا مهم لأنه يمنح المشغلين طريقة لتغيير ما يراه المستخدمون من دون شحن تحديث جديد لإضافة المتصفح في كل مرة يتغير فيها المحتوى.

نمط التوزيع مهم أيضا. فإدراج الإضافة في المتجر يمكن أن يمنحها مظهرا من الشرعية، بينما تستطيع بوابات التنزيل التابعة لجهات خارجية توسيع نطاق الوصول إلى ما وراء المستخدمين الذين يبحثون عادة في المتجر الرسمي. كما أن تعدد حسابات الناشرين يشير إلى التجزئة أو تدوير الحسابات، وهو ما قد يجعل عمليات الإزالة والإسناد أصعب، حتى لو لم تكن العلاقة الدقيقة بين المشغلين واضحة بعد.

بالنسبة للمدافعين، لا يقتصر الخطر التشغيلي على الإعلانات المزعجة. فإضافة المتصفح ذات الأذونات القوية يمكنها تعديل الصفحات، أو حقن المحتوى، أو إعادة توجيه الحركة، أو جمع بيانات تصفح أكثر مما يتوقعه المستخدمون. ولهذا فإن مراجعة الأذونات، وقوائم السماح للإضافات، وضوابط سياسات المتصفح الأكثر صرامة ليست مجرد ممارسات نظافة اختيارية في البيئات المُدارة.

الخلاصة

تذكرنا هذه الحالة بأن إساءة استخدام المتصفحات الحديثة تختبئ غالبا خلف الأداة المفيدة والمظهر المصقول بدلا من السلوك البرمجي الخبيث الصريح. والخطر الحقيقي هو نموذج الثقة نفسه: فبمجرد تثبيت إضافة خادعة، يصبح المتصفح ساحة المواجهة. والدرس الأكثر أمانا هو أيضا الأبسط - تعامل مع كل إضافة على أنها برنامج يمتلك قوة حقيقية، لا مجرد إضافة تجميلية غير مؤذية.

WIKICROOK

• إضافة Chrome: إضافة للمتصفح يمكنها إضافة ميزات، وتعديل الصفحات، وطلب الأذونات داخل Chrome.
• برمجيات إعلانية: برمجيات تركز على الإعلانات غير المرغوب فيها، وإعادة التوجيه، والتلاعب بالمحتوى بهدف تحقيق الدخل.
• اختطاف المتصفح: السيطرة غير المصرح بها على سلوك المتصفح، مثل تغييرات الصفحات، أو إعادة التوجيه، أو المحتوى المحقون.
• محتوى HTML عن بُعد: محتوى ويب يتم جلبه من خادم وعرضه داخل متصفح أو إضافة.
• حساب ناشر: الهوية المستخدمة لتوزيع قوائم البرامج عبر سوق أو قناة تنزيل.