Из помощника в шпиона: популярный плагин Chrome предал 500 000 пользователей

Расширение Hide YouTube Shorts для Chrome неожиданно сменило владельца и стало вредоносным. Исследование выявило, что теперь плагин проводит мошенничество с партнёрскими программами и отправляет данные о действиях пользователей на сервер AWS.

Кроме данного плагина обнаружены ещё 11 расширений, разработанных теми же людьми, которые либо содержат аналогичные вредоносные функции, либо находятся в потенциальной зоне риска. Среди них — Karma Shopping (более 500 000 пользователей) от Karma Shopping Ltd., компанией, основанной в 2013 году и имеющей значительные инвестиции.

Расширения стали вредоносными после передачи прав в середине 2023 года. Последующие обновления включили механизм сбора данных, о чем пользователи не были предупреждены. Некоторые отзывы на странице расширения Hide YouTube Shorts в Chrome Web Store указывают на возможность редиректов на фишинговые сайты, что подтверждает подозрения относительно недобросовестных намерений нового разработчика.

Во многих случаях в код добавлены функции отслеживания действий пользователей или установки партнёрских меток. Некоторые расширения требуют дополнительных привилегий для сбора данных, ссылаясь на вымышленные причины. Вредоносный функционал работает в скрытом режиме и запускается с задержкой, чтобы избежать обнаружения. Партнёрское мошенничество рассматриваемых плагинов направлено на генерацию прибыли, используя домен «kra18[.]com», который в зависимости от посещённого сайта заменяет ссылки на реферальные.

Особое внимание вызывает расширение Karma. Его разработчик указал в политике конфиденциальности, что собирает и продаёт анонимизированные данные о поведении пользователей. Однако изучение кода показало, что передаваемая информация содержит уникальные идентификаторы, что ставит под сомнение степень анонимности. В частности, у Karma есть возможность отслеживания посещений сайтов с учётом различных вкладок браузера, что, вопреки заявленным принципам, позволяет легко восстановить действия конкретного пользователя.

Кроме того, компания Karma Shopping Ltd. недавно активно искала возможности для покупки расширений, предлагая их разработчикам от $0.2 до $1 за активного пользователя. Это даёт основания полагать, что цель расширения Karma — увеличить число пользователей для получения партнёрских комиссий и расширить объём собираемых данных для маркетинговых исследований.

В политике конфиденциальности Karma указано, что данные могут использоваться для маркетинговых исследований и продаваться партнёрам в анонимизированном виде. Однако, хотя это и кажется законным, метод сбора данных нарушает GDPR: согласие на обработку данных пользователей не запрашивается должным образом, а собранная информация не анонимна, что позволяет восстановить действия конкретных пользователей.

Особую тревогу вызывает позиция Google. Несмотря на наличие формы для жалоб, её функции ограничены, а механизм реагирования неэффективен. Оповещение о проблеме сводится к формату, где пользователю предлагается выбрать из списка причин недовольства расширением, таких как «не соответствует ожиданиям» или «недружелюбное содержимое». Однако детализированные отзывы о потенциально вредоносных расширениях часто остаются без ответа. В ответ на это пользователи сетуют на необходимость массовых жалоб, чтобы привлечь внимание к опасности.