Тихая установка: в Chromium нашли баг для скрытой подмены расширений

Тихая установка: в Chromium нашли баг для скрытой подмены расширений

Тихая установка: в Chromium нашли баг для скрытой подмены расширений

Исследователи нашли новый способ тихо устанавливать свои расширения в Chrome и других браузерах на базе Chromium. И всё это без лишних предупреждений для пользователя. Фокус в том, как браузеры хранят настройки аддонов.

Обычно для контроля используются специальные JSON-файлы в AppData, где зашиты установленные расширения и проверочные коды (MAC). Но учёные показали, что эти проверки можно обойти всего одной аккуратной записью на диск.

Метод работает так: сначала атакующий вычисляет ID нужного расширения, потом вытаскивает из ресурсов браузера секретный ключ для подписи и генерирует правильные коды проверки.

После чего остаётся переписать настройки — и браузер послушно запускает «левое» расширение при старте. Причём никаких флагов в командной строке или скачиваний из магазина Chrome не нужно.

 

Отдельная хитрость — так называемый «extension stomping»: если локальное расширение имеет тот же ID, что и официальное из Chrome Web Store, то приоритет получит именно локальная версия. А это прямой путь для маскировки под разрешённые админами плагины.

 

Даже групповые политики в доменной сети не спасают: их можно подделать или просто удалить ключи в реестре (HKCU\Software\Policies\Google\Chrome).

Для атакующих это означает тихую и надёжную точку закрепления в системе, а для защитников — новые головные боли. Эксперты советуют мониторить изменения файлов настройки, проверять переключения режима разработчика и следить за подозрительными правками в реестре.

В итоге исследование показало слабое место всей архитектуры Chromium: статический HMAC-ключ и доступность файлов для записи. Чтобы закрыть дыру, придётся выносить проверки глубже в систему или усиливать шифрование на уровне ОС.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Инвесторы идут к ChatGPT, но он путает цифры и строит хрустальные шары

Похоже, ИИ уверенно заходит и на фондовый рынок. Уже 13% частных инвесторов по всему миру используют ChatGPT или другие чат-боты для выбора акций. А примерно половина респондентов опроса eToro (11 тысяч инвесторов) признались, что не прочь попробовать такие инструменты для управления портфелем.

Как пишет Reuters, речь идёт не об алгоритмическом трейдинге, когда компьютеры гоняют тысячи сделок в секунду, а о том, что люди реально задают ИИ вопросы вроде «какие акции стоит купить?», читают ответ и сами решают, жать ли кнопку «купить».

Например, бывший аналитик UBS Джереми Люн теперь полагается на ChatGPT для управления своим портфелем.

«У меня больше нет доступа к Bloomberg Terminal — он слишком дорогой, — говорит он. — А ChatGPT может заменить многие привычные рабочие процессы».

Есть и громкие кейсы: сайт Finder ещё в марте 2023-го попросил ChatGPT составить портфель из «качественных компаний». С тех пор эта подборка выросла почти на 55% — результат лучше среднего по топ-10 британских фондов на 19 процентных пунктов.

Но есть нюанс: американский рынок и без того на исторических максимумах. S&P 500 вырос на 13% с начала года, а в 2023-м вообще прибавил 23%. В такой ситуации почти любая стратегия выглядит «гениальной».

Эксперты напоминают, что у ИИ есть серьёзные ограничения: он не видит данных за paywall, может путать цифры, выстраивать надуманные нарративы и слишком полагаться на прошлое поведение акций.

«Риск в том, что люди начинают воспринимать ChatGPT или Gemini как хрустальный шар», — предупреждает глава eToro в Великобритании.

История повторяется: в 80-х частные инвесторы получили электронную торговлю, в 90-х — онлайн-брокеров с копеечными комиссиями, после кризиса 2008-го появились первые роботизированные советчики. Теперь на сцену выходят ИИ-ассистенты.

Главная опасность, как говорят аналитики: пока рынок растёт, ИИ выглядит помощником. Но если грянет кризис, не факт, что частные инвесторы сумеют правильно управлять рисками.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru