Chrome, Edge та Brave під ударом: Google злила код для атаки на невиправлений баг

Про це пише РБК-Україна з посиланням на Ars Technica.

Як працює баг

Проблему виявила незалежна дослідниця Лайра Ребане ще наприкінці 2022 року і одразу приватно повідомила про це Google. Вразливість ховається в інструменті під назвою Browser Fetch - це стандартна функція, яка дозволяє браузеру завантажувати великі файли або довгі відео у фоновому режимі.

Запуск шкідливого коду відбувається автоматично, коли людина заходить на будь-який небезпечний сайт, де хакери прописали спеціальний JavaScript. Після цього у браузері відкривається прихований службовий процес, який залишається активним постійно.

Баг виявився настільки чіпким, що залежно від типу програми підключення хакерів не зникає навіть після повного перезавантаження самого браузера чи комп'ютера.

За словами Ребане, затримка з ремонтом виникла через те, що помилка формально не порушує закриті системні кордони операційної системи - тобто хакери не можуть напряму вкрасти ваші паролі, особисті фото чи листи з пошти. Через це розробники Google відклали проблему та не до кінця розуміли її небезпеку, аж поки випадково не злили код у відкритий доступ під час ранкового оновлення бази даних.

Чим це загрожує користувачам та які браузери під ударом?

Хоча прямий доступ до файлів комп'ютера закритий, "діра" у рушії працює як обмежений "бекдор" (таємний вхід). Зловмисник може об'єднати тисячі або навіть мільйони таких заражених пристроїв у єдину мережу - ботнет.

Отриману мережу хакери здатні використовувати для таких цілей:

Маскування та проксі: комп'ютер жертви стає безкоштовним анонімним каналом, через який сторонні люди можуть таємно переглядати сайти в інтернеті.

Масові DDoS-атаки: хакери можуть змусити мільйони чужих браузерів одночасно надсилати запити на певний сайт, щоб повністю "покласти" його сервери.

Стеження: частковий моніторинг того, які саме сторінки відвідує користувач.

Постраждати від витоку можуть користувачі майже всіх брендів, які побудовані на базі коду Chromium. Дослідники офіційно підтвердили небезпеку для Chrome, Microsoft Edge, Brave, Opera, Vivaldi та Arc.

Водночас користувачі браузерів Firefox та Safari перебувають у повній безпеці. Ці програми створені на інших індивідуальних рушіях і взагалі не підтримують технологію фонового завантаження файлів у такому вигляді.

Як розпізнати небезпеку самостійно?

Експерти зазначають, що звичайній людині помітити злом дуже важко, адже шкідливий процес маскується під дрібну системну помилку. Головна ознака, яка має викликати підозру - раптова поява випадаючого вікна завантажень у кутку екрана без жодної зрозумілої причини.

У браузері Microsoft Edge таке віконце може мигнути лише один раз під час запуску і більше не з'являтися, не додаючи жодних реальних файлів у список. У Chrome це вікно є більш стійким і висить довше.

Наразі представники Google відмовилися коментувати причини витоку та не назвали точних термінів виходу офіційного захисного патчу.