Dodatki do przeglądarek szpiegują użytkowników
Mozilla usunęła z serwisu z dodatkami do pobrania narzędzie add-on Mozilla Sniffer. Po zainstalowaniu wspomniany Sniffer obserwował wszystkie operacje logowania i wysyłał przechwycone dane dostępu wraz z przypisanymi do nich odnośnikami URL do obcego serwera.
Według Mozilli, Sniffer został przyjęty do serwisu pobierania 6 czerwca bieżącego roku i od tamtej pory pobrano go 1800 razy, a korzysta z niego codziennie 334 internautów. Gdy 12 lipca wykryto jego szkodliwe działanie, Mozilla natychmiast usunęła dodatek z katalogu i umieściła na czarnej liście, w wyniku czego użytkownicy zostaną ostrzeżeni przed szkodliwym oprogramowaniem i jednocześnie będą wezwani do jego odinstalowania. Należy to zrobić niezwłocznie, a następnie zmienić wszystkie używane hasła.
Przy tej okazji Mozilla ostrzega także przed add-onem (dodatkiem) CoolPreviews w edycji 3.0.1 i starszej. Dzięki przemyconemu w nim kodowi JavaScript napastnik może uzyskać dostęp do zasobów systemowych. Aby wykonać niepożądany kod, wystarczy jedynie przesunąć kursorem myszy nad zmanipulowanym odnośnikiem. Mozilla twierdzi, że wersji narażonej na ataki używa około 177 tysięcy osób. Najnowsze wydanie 3.1.0625 jest już wolne od tej luki. Użytkownicy starszych wersji również będą wzywani do ich zaktualizowania.
Już wielokrotnie crackerom udawało się wykorzystać katalog dodatków Mozilli do niecnych celów. Rozszerzenie do Firefoksa Master Filer zawierało np. trojana Bifrose, który jeszcze po odinstalowaniu buszował na komputerach około 700 użytkowników. Usunąć mógł go tylko program antywirusowy. Pod rozszerzenie do popularnej otwartoźródłowej przeglądarki podszywało się także oprogramowanie szpiegowskie wyspecjalizowane w bankowości online. Mozilla od kilku miesięcy zmienia system przeglądu dodatków, aby w przyszłości nie rozpowszechniać niesprawdzonego kodu.
Użytkownicy Google Chrome powinni również być czujni, ponieważ przeglądarka też nie jest wystarczająco chroniona przed złośliwym kodem JavaScript, co niedawno w blogu zademonstrował Andreas Greich. Jedynie kilka linijek kodu wystarczy, aby zbudować prosty zbieracz haseł na wzór firefoksowego Sniffera. Dodatek nie wykorzystuje przy tym żadnej luki, bo w zasadzie wszystkie rozszerzenia mogą zbierać dane wpisywane do formularzy na wszystkich otwartych stronach i wysyłać je w dowolne miejsce.
