Il browser Chrome di Google è stato esposto a uno spyware che ha attaccato gli utenti attraverso 32 milioni di download di estensioni del programma per la navigazione Internet di Big G. Lo hanno rivelato all’agenzia Reuters i ricercatori della società Awake Security, portando ancora una volta in evidenza i problemi di sicurezza e privacy del browser di Google.
Per numero di download si è trattato del più vasto attacco malware sul Web Store di Chrome mai realizzato, secondo Gary Golomb, co-fondatore e chief scientist di Awake. Le estensioni malevole per Chrome erano progettate in modo da non essere scovate dai comuni programmi antivirus o dai software di security.
Il colosso di Mountain View ha replicato di aver rimosso oltre 70 di queste estensioni malevole dal suo Chrome Web Store ufficiale dopo aver ricevuto comunicazione dai ricercatori lo scorso mese. “Quando veniamo a conoscenza di estensioni nel Web Store che violano le nostre regole, adottiamo le misure necessarie e utilizziamo tali incidenti come materiale da cui imparare per migliorare le nostre analisi sia automatizzate che manuali”, ha affermato il portavoce di Google Scott Westover.
Link verso migliaia di domini malevoli
Il browser Chrome di Google può essere personalizzato sul desktop aggiungendo estensioni che si scaricano dal Web Store di Chrome. Da febbraio 2010, più di 2200 estensioni sono state pubblicate dai rispettivi sviluppatori e tutti gli utenti di un account Google possono pubblicare le proprie estensioni usando le API di Google. Sia con le estensioni che con le app di Chrome gli utenti modificano in base alle loro esigenze il modo in cui accedono e usano internet.
La maggior parte delle estensioni-spia, gratuite, si presentavano come strumenti per aiutare gli utenti a riconoscere i siti web non sicuri o per convertire file da un formato all’altro. Invece catturavano tutta la cronologia della navigazione e dati che potevano portare alle credenziali di accesso a documenti sensibili.
Per chi usava il browser da casa, il malware collegava Chrome a una serie di siti web cui trasmetteva le informazioni sulla navigazione, ha scoperto Awake. Le reti corporate, invece, sono risultate protette. Il metodo usato dai criminali informatici permetteva comunque di nascondere migliaia di domini malevoli. Di questi, oltre 15.000 erano tutti collegati tra loro e acquistati da Galcomm, un piccolo registrar con sede in Israele, che però ha negato ogni coinvolgimento in attività illecite.
I ricercatori non hanno per ora individuato la fonte dell’attacco spyware.
Chrome obiettivo delle spie
Google non ha riferito informazioni sulle dimensioni delle campagne di spyware condotte sul suo negozio di app e estensioni per Chrome. L’azienda non ha nemmeno spiegato perché non abbia autonomamente identificato e rimosso le estensioni malevole nonostante si fosse impegnata a verificare con maggiore attenzione l’offerta sul Web Store di Chrome.
Le estensioni fasulle esistono da anni, ma ora sono diventate più pericolose, sottolineano gli esperti di sicurezza. Inizialmente, infatti, inserivano per lo più pubblicità indesiderate, ma ora tendono a installare programmi malevoli o a tracciare il posizionamento degli utenti e la loro attività per passare le informazioni a governi esteri o aziende. In pratica, lo spyware sui browser è diventato un nuovo strumento per lo spionaggio politico e industriale.
Il Chrome Store di Google è da anni preso di mira da questo genere di attacchi. Dopo aver scoperto che un’estensione su 10 era malevola, Google nel 2018 si è impegnata a potenziare la sicurezza aumentando il ricorso alla supervisione umana, anziché affidarsi solo alle analisi automatizzate.
Il difficile equilibrio su sicurezza e privacy
A febbraio, tuttavia, la ricercatrice indipendente Jamila Kaya e Duo Security di Cisco hanno scoperto una campagna malware contro Chrome che ha sottratto i dati di circa 1,7 milioni di utenti. Google si è unita alle indagini e ha portato alla luce 500 estensioni fasulle.
Non è il primo scivolone di Google sulla sicurezza di Chrome. A giugno tre consumatori americani hanno lanciato una class action da 5 miliardi di dollari contro l’azienda americana accusandola di tracciare gli utenti su Chrome anche quando questi usano la modalità di navigazione privata Incognito. La causa è stata depositata presso la Corte distrettuale degli Stati Uniti per il Distretto settentrionale della California, corte federale di San Jose. Il motore di ricerca online violerebbe la privacy raccogliendo i dati della cronologia di navigazione e delle abitudini dei suoi utenti tramite prodotti come Google Ad Manager o i plug-in sui siti web visitati anche quando viene utilizzata la modalità di navigazione privata.
Google cerca da parte sua un modo per rendere Chrome più sicuro. A febbraio l’azienda ha annunciato che eliminerà gradualmente (entro il 2023) il supporto ai cookie di terze parti Fin da ora il browser limita il tracciamento insicuro tra siti e offre agli utenti controlli più precisi sui cookie. Google sta anchesviluppando nuovi approcci per rilevare e mitigare il monitoraggio nascosto che intende lanciare entro la fine dell’anno.
