Тихая установка: в Chromium нашли баг для скрытой подмены расширений

Тихая установка: в Chromium нашли баг для скрытой подмены расширений

Тихая установка: в Chromium нашли баг для скрытой подмены расширений

Исследователи нашли новый способ тихо устанавливать свои расширения в Chrome и других браузерах на базе Chromium. И всё это без лишних предупреждений для пользователя. Фокус в том, как браузеры хранят настройки аддонов.

Обычно для контроля используются специальные JSON-файлы в AppData, где зашиты установленные расширения и проверочные коды (MAC). Но учёные показали, что эти проверки можно обойти всего одной аккуратной записью на диск.

Метод работает так: сначала атакующий вычисляет ID нужного расширения, потом вытаскивает из ресурсов браузера секретный ключ для подписи и генерирует правильные коды проверки.

После чего остаётся переписать настройки — и браузер послушно запускает «левое» расширение при старте. Причём никаких флагов в командной строке или скачиваний из магазина Chrome не нужно.

 

Отдельная хитрость — так называемый «extension stomping»: если локальное расширение имеет тот же ID, что и официальное из Chrome Web Store, то приоритет получит именно локальная версия. А это прямой путь для маскировки под разрешённые админами плагины.

 

Даже групповые политики в доменной сети не спасают: их можно подделать или просто удалить ключи в реестре (HKCU\Software\Policies\Google\Chrome).

Для атакующих это означает тихую и надёжную точку закрепления в системе, а для защитников — новые головные боли. Эксперты советуют мониторить изменения файлов настройки, проверять переключения режима разработчика и следить за подозрительными правками в реестре.

В итоге исследование показало слабое место всей архитектуры Chromium: статический HMAC-ключ и доступность файлов для записи. Чтобы закрыть дыру, придётся выносить проверки глубже в систему или усиливать шифрование на уровне ОС.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России предложили создать стандарты ИИ и продвигать их за рубежом

Секция «Искусственный интеллект» Совета по развитию цифровой экономики при Совете Федерации предложила разработать российские технические стандарты в области ИИ и обеспечить их перевод на иностранные языки для продвижения на международном уровне. По замыслу авторов инициативы, такие стандарты должны стать ключевым элементом технологического суверенитета и повысить конкурентоспособность российских решений на мировом рынке.

Как сообщил ТАСС заместитель председателя Совета Артём Шейкин, стандарты будут задавать «правила игры» в отрасли: они необходимы для обеспечения безопасности, совместимости и доверия к ИИ-технологиям как внутри страны, так и за её пределами.

«Регулирование ИИ в России должно быть ориентировано на поддержку внешнеторговой деятельности российских разработчиков технологий ИИ и создавать условия для их комфортной работы на внешних рынках, включая продвижение российских регуляторных норм за рубежом», — говорится в документе.

Участники секции рекомендовали Минпромторгу, Росстандарту и Альянсу в сфере ИИ «обеспечить разработку российских технических стандартов в сфере ИИ с учётом необходимости их дальнейшего продвижения за рубежом, включая перевод на иностранные языки».

Продвижение таких стандартов предполагается на международных площадках, включая ООН, ЕАЭС, СНГ, ШОС и БРИКС. Инициатива должна укрепить лидерство России в области стандартизации технологий искусственного интеллекта.

«Перевод на иностранные языки и активная работа на международных площадках позволят российским компаниям уверенно выходить на зарубежные рынки, где спрос на надёжные и безопасные ИИ-решения постоянно растёт. Это также создаст условия для укрепления роли России в формировании глобальной архитектуры регулирования искусственного интеллекта», — резюмировал Артём Шейкин.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru