Google и Mozilla мгновенно отреагировали на информацию немецких источников о том, что популярный плагин веб-репутации Web of Trust (WOT) продает данные истории просмотров пользователей без предварительного их обезличивания.
Расширение WOT установлено в браузерах Chrome и Firefox миллионов пользователей по всему миру и позволяет просматривать рейтинг безопасности сайтов.
Плагин удален из магазинов расширений
Плагин WOT был удален из интернет-магазина Chrome и магазина дополнений Firefox и больше не доступен для установки. В немецкой прессе появилась информация о вредоносном поведении расширения после проведенного анализа и обнаружения очевидных доказательств. Согласно результатам анализа, плагин мог использоваться для удаленного исполнения кода при определенных условиях, поэтому расширение было добавлено в черный список дополнений Firefox.
Отметим, что расширение могло нанести серьезный ущерб пользователям, потому что обнаруженные уязвимости позволяли воровать финансовую информацию и даже устанавливать вредоносные программы на компьютере пользователя.
Сводка анализа расширения Web of Trust
Аудит безопасности был проведен пользователем Rob, экспертом по анализу расширений в Firefox WebExtensions.
Плагин WOT может исполнять произвольный код на любой странице, включая внутренние страницы браузера.
Влияние и опасность: Критическая опасность. При необходимости WOT может выполнять различные виды вредоносной активности - от кражи персональных финансовых данных до установки вредоносного ПО на ПК пользователя.
На момент проведения анализа данная функциональность не применялась.
Угрозы безопасности
• Apple закрыла уязвимость нулевого дня, которая используется в целевых атаках на iPhone, iPad и Mac
• Популярное расширение для Chrome шпионит за вами — удалите его немедленно
• Хакеры эксплуатируют уязвимость WinRAR: обновитесь до версии 7.13
• Программа-вымогатель Akira использует уязвимый драйвер для отключения Microsoft Defender
• «Лаборатория Касперского»: троян LunaSpy под видом антивируса атакует Android-устройства в России
• Proton устранил баг в Authenticator для iOS: TOTP-секреты сохранялись в логах в открытом виде