Principais conclusões
- A maioria das extensões na Chrome Web Store requer permissões perigosas que podem ser mal utilizadas para fins maliciosos.
- Todos os navegadores da web estão tentando resolver o problema das extensões rebeldes.
- O Manifest V3 do Google é uma dessas soluções que aborda alguns problemas, mas faz pouco para controlar as permissões disponíveis para as extensões.
Lembra daquela extensão de navegador de verificação ortográfica que pedia permissão para ler e analisar tudo o que você digitava? Especialistas em segurança cibernética alertam que há uma grande chance de que algumas extensões estejam fazendo uso indevido de seu consentimento para roubar as senhas digitadas no navegador da web. Para ajudar os usuários a avaliar os perigos das extensões da web, a empresa de segurança digital Talon analisou a Chrome Web Store para relatar que dezenas de milhares de extensões têm acesso a permissões preocupantes, como a capacidade de alterar dados em todos os sites visitados, baixar arquivos, acessar atividade de download e muito mais. “Muitas extensões populares colocam os usuários em risco”, explicou o cofundador e CTO da Talon Cyber Security, Ohad Bobrov, à Lifewire por e-mail. “[Even] extensões benignas podem ter vulnerabilidades em seu código ou cadeia de suprimentos e podem ser suscetíveis a aquisições por agentes mal-intencionados”.
Extensões rebeldes
Talon argumenta que as extensões oferecem grande valor para seus usuários e trazem uma série de recursos úteis para os navegadores da web, como bloqueio de anúncios, verificação ortográfica, gerenciamento de senhas e muito mais. No entanto, para trazer essas funcionalidades, as extensões exigem amplas permissões para modificar o navegador, seu comportamento e os sites visitados. “Naturalmente, esse nível de controle e acesso de atores terceirizados pode representar ameaças significativas à segurança e à privacidade dos usuários”, explicou Talon. A empresa acrescenta que, apesar do processo de verificação do Google, muitas extensões maliciosas conseguem passar pelas brechas e acabam impactando negativamente milhões de usuários. Sua análise revelou que mais de 60% de todas as extensões na Chrome Web Store têm permissões para ler ou alterar dados e atividades do usuário. Por exemplo, Talon diz que os verificadores ortográficos e gramaticais solicitam permissão para injetar scripts executados no contexto da página da Web para analisar o texto do usuário. Eles geralmente fazem isso inspecionando os campos de entrada ou registrando as teclas digitadas pelo usuário por outros meios. A empresa diz que isso efetivamente permite que as extensões coletem e exfiltrem qualquer informação na página da web, incluindo senhas e outros dados confidenciais. Depois, há o bloqueio de anúncios, que compõe algumas das principais extensões da Chrome Web Store. Essa funcionalidade envolve a remoção de elementos da página e requer as mesmas permissões dos corretores ortográficos. Não se sabe quais dados foram exfiltrados, mas pode ter roubado qualquer coisa de qualquer página, incluindo senhas. Da mesma forma, as permissões concedidas para compartilhamento de tela e extensões de videoconferência para realizar a tarefa pretendida também podem ser mal utilizadas para capturar a tela e o áudio do usuário. “Duas vulnerabilidades foram encontradas no uBlock Origin nos últimos meses, o que permitiu que os invasores explorassem a permissão da extensão para ler e alterar dados em todos os sites e roubar informações confidenciais do usuário”, disse Bobrov. “Bloqueadores de anúncios como o uBlock Origin são extremamente populares e geralmente têm acesso a todas as páginas que um usuário visita. Nos bastidores, eles são alimentados por listas de filtros fornecidas pela comunidade – seletores de CSS que determinam quais elementos bloquear. Essas listas não são totalmente confiáveis , portanto, eles são limitados a impedir que regras maliciosas roubem dados do usuário”, escreveu o pesquisador de segurança Gareth Heyes ao demonstrar o uso de vulnerabilidades na extensão para roubar senhas. Bobrov também compartilhou que em 2019 a popular extensão The Great Suspender, que tinha mais de dois milhões de usuários, foi comprada por um ator mal-intencionado, que passou a explorar suas permissões para injetar scripts para executar códigos não revisados e hospedados remotamente em páginas da web. “Não se sabe quais dados foram exfiltrados”, disse ele, “mas poderia ter roubado qualquer coisa de qualquer página, incluindo senhas”.
Nenhuma solução real
Bobrov diz que o Chrome e praticamente todos os outros principais navegadores da Web estão trabalhando para conter o risco de segurança representado pelas extensões, não apenas melhorando seu processo de verificação, mas também limitando alguns dos recursos das extensões. Um desses passos recentes que Bobrov aponta é o Manifest V3 do Google. Ele diz que, para o usuário comum, a diferença mais perceptível que o Manifest V3 traria para as extensões é a proibição total do código hospedado remotamente e uma mudança na maneira como as extensões modificam as solicitações da web. No entanto, ele acrescenta que, por outro lado, o Manifest V3 foi criticado por prejudicar severamente os bloqueadores de anúncios. “As tendências mais significativas são fechar brechas de segurança, aumentar a visibilidade e o controle do usuário final (por exemplo, quais sites permitem que as extensões sejam executadas) e proibir o código não revisável das extensões”, disse Bobrov. “Algumas dessas mudanças estão incluídas no Manifest V3 do Google. No entanto, nenhuma dessas mudanças altera drasticamente as permissões disponíveis para extensões.”
