Google Chrome можно превратить в шпионский софт: включить камеру и микрофон

Google Chrome можно превратить в шпионский софт: включить камеру и микрофон

Google Chrome можно превратить в шпионский софт: включить камеру и микрофон

Оказывается, киберпреступникам не нужны продвинутые шпионские программы, чтобы следить за пользователями — вполне хватит обычного браузера. Да-да, речь о Google Chrome и других браузерах на базе Chromium: Edge, Brave, Opera и пр.

Исследователь в области кибербезопасности, известный под ником mr.d0x, рассказал, как можно превратить Chromium-браузер в инструмент слежки с помощью всего пары команд.

Если злоумышленник уже получил доступ к системе, ему достаточно запустить браузер через PowerShell в скрытом режиме — в маленьком окне за пределами экрана или вообще в headless-режиме. А дальше — дело техники.

Браузер открывает специальную веб-страницу с вредоносным JavaScript-кодом, который начинает регулярно делать скриншоты, записывать звук с микрофона и видео с камеры. Всё это — без ведома пользователя и без каких-либо всплывающих окон с запросами на разрешение.

Как это работает? Используются легитимные функции Chromium. Например, флаг --auto-select-desktop-capture-source=Entire позволяет автоматически начать «шаринг» всего экрана, без диалоговых окон. Если у пользователя несколько мониторов — скрипт просто укажет, какой именно захватывать.

Ещё один флаг — --auto-accept-camera-and-microphone-capture — включает камеру и микрофон без спроса. Единственное, что может выдать слежку — индикатор камеры, который загорается при записи. Но и это можно попытаться обойти.

Как отмечает mr.d0x, особенно интересен тот факт, что сам шпионский код не нужно внедрять на компьютер жертвы — он выполняется на стороннем сайте. Такой подход особенно удобен для атак на этапе постэксплуатации, когда система уже скомпрометирована.

 

Причём это может быть не только атака через уже захваченный компьютер. Пользователя могут обманом заставить запустить скрипт — например, через поддельную проверку CAPTCHA.

Исследователь призывает специалистов по безопасности отслеживать использование подобных командных флагов. Для обычного пользователя они не нужны — а значит, любое их появление в системе должно вызывать подозрение.

В общем, будьте внимательны: иногда шпион — это просто ваш браузер.

Подпишитесь на новости

Цифровой профиль россиян узнает о судимости, больничных и наследстве

Правительство заметно расширило эксперимент по созданию цифрового профиля граждан и организаций. Теперь в электронном обмене смогут участвовать новые компании и учреждения, а перечень доступных сведений пополнится данными об образовании, судимости, кредитах, наследстве и даже тракторах.

Изменения закреплены в постановлении правительства, опубликованном на официальном портале правовых актов.

Сам эксперимент проводится с июля 2019 года и должен упростить обмен информацией между гражданами, банками и государственными органами (в частности, при оказании финансовых услуг).

К проекту присоединятся «Дом.рф», Федеральная нотариальная палата, «Интерфакс», АО «Электронный паспорт», ломбарды, кредитные и сельскохозяйственные потребительские кооперативы, а также организаторы торгов на товарных и финансовых рынках.

Расширился и набор сведений. Через систему смогут передаваться данные о дипломах, обучении, зачислении в вузы, студенческих билетах и волонтёрской деятельности. В перечень также вошли сведения о судимости, уголовном преследовании и розыске, электронных больничных, банкротстве, правах на наследство и залоге движимого имущества.

Финансовый блок пополнят данные о праве на материнский капитал и остатке его средств, а также о кредитах, выданных по льготным ипотечным программам. Транспортный — выписки из реестра автомобилей, сведения об электронных ПТС, уплате утильсбора, таможенных ограничениях, тракторах и других самоходных машинах.

Кроме того, обмен охватит сведения о видах на жительство и разрешениях на временное проживание иностранцев, а также о зарегистрированных результатах интеллектуальной деятельности и действующих исключительных правах.

Цифровой профиль задумывался как способ избавить граждан от бесконечного перекладывания справок между ведомствами и банками. Теперь он действительно будет знать почти всё необходимое.

RSS: Новости на портале Anti-Malware.ru