spoofing przez rozszerzenie przeglądarki

Spoofing przez rozszerzenie przeglądarki wykorzystuje nadmiarowe uprawnienia dodatku do manipulacji treścią stron.

Na czym polega spoofing wykonywany przez rozszerzenie

Spoofing przez rozszerzenie przeglądarki polega na wykorzystaniu dodatku, który otrzymał uprawnienia pozwalające odczytywać albo modyfikować zawartość odwiedzanych stron. Rozszerzenie może wstrzyknąć skrypt do dokumentu HTML, zmienić elementy modelu DOM, podmienić tekst, obrazy, odnośniki lub formularze, a następnie wyświetlić użytkownikowi treść wyglądającą jak część oryginalnego serwisu. W praktyce adres widoczny na pasku przeglądarki może pozostać prawidłowy, mimo że sama zawartość strony została zmieniona przez dodatek.

Do takiej manipulacji może dojść zarówno wskutek instalacji złośliwego rozszerzenia, jak i przejęcia dodatku, który wcześniej działał poprawnie. Ryzyko zależy od zakresu przyznanych uprawnień, między innymi od dostępu do określonych domen, możliwości odczytu historii przeglądania, odczytu treści kart oraz modyfikowania danych na odwiedzanych stronach. Sam fakt obecności rozszerzenia nie dowodzi oszustwa, ale nieoczekiwana zmiana jego wydawcy, nazwy, żądanych uprawnień albo sposobu działania jest sygnałem wymagającym sprawdzenia.

Manipulacja stroną, formularzem i odnośnikami

Rozszerzenie wykorzystujące spoofing może dodać na stronie nakładkę imitującą okno logowania, komunikat banku, formularz płatności albo ostrzeżenie przeglądarki. Taki element może przechwytywać dane wpisywane do pól formularza przed wysłaniem ich do właściwej witryny. Inną techniką jest podmiana atrybutu href w odnośnikach, zmiana tekstu przycisku lub przechwycenie zdarzenia kliknięcia tak, aby użytkownik został przekierowany na inną domenę. Możliwa jest również zamiana numeru rachunku, adresu portfela kryptowalutowego lub danych kontaktowych wyświetlanych w treści strony.

W rozszerzeniach przeglądarek często stosuje się skrypty treści, czyli content scripts, uruchamiane w kontekście wybranych stron. Taki skrypt może modyfikować interfejs witryny, ale zwykle działa z ograniczeniami określonymi przez model bezpieczeństwa przeglądarki. Rozszerzenie może także korzystać z mechanizmów obserwowania lub zmiany żądań sieciowych, jeśli dana przeglądarka i konfiguracja dodatku przyznają odpowiednie uprawnienia. Nie oznacza to jednak automatycznie dostępu do wszystkich danych systemu: zakres działania wynika z uprawnień, izolacji procesów i zabezpieczeń konkretnej przeglądarki.

Objawy i sposób potwierdzenia ingerencji dodatku

Typowym objawem spoofingu jest różnica między stroną otwartą w zwykłym oknie a tą samą stroną uruchomioną w trybie prywatnym, w innym profilu lub w innej przeglądarce. Warto porównać kod strony, wygląd formularza, adresy odnośników i zachowanie po wyłączeniu rozszerzeń. Jeżeli problem znika po uruchomieniu przeglądarki bez dodatków, podejrzane rozszerzenie należy izolować przez wyłączanie ich pojedynczo, a nie usuwać dowody bez wcześniejszego sprawdzenia.

Kontrola powinna obejmować pełną nazwę dodatku, jego identyfikator, wydawcę, datę ostatniej aktualizacji oraz listę uprawnień. Należy sprawdzić, czy rozszerzenie zostało zainstalowane świadomie i czy jego funkcje odpowiadają opisowi w oficjalnym katalogu. Pomocne jest także przejrzenie ustawień wyszukiwarki, strony startowej, wyjątków witryn i reguł przekierowań. Hasła wpisane do formularza wyświetlanego przez podejrzany dodatek należy uznać za potencjalnie ujawnione i zmienić z czystego profilu lub innego zaufanego urządzenia, po potwierdzeniu właściwego adresu witryny.

Bezpieczne usunięcie rozszerzenia z profilu użytkownika

Po potwierdzeniu ingerencji należy wyłączyć podejrzane rozszerzenie, usunąć je z profilu przeglądarki i ponownie uruchomić przeglądarkę. Następnie trzeba sprawdzić, czy nie zmieniono strony startowej, domyślnej wyszukiwarki, skrótów, powiadomień witryn oraz zapisanych wyjątków. W przypadku dodatku zarządzanego przez zasady systemowe samo usunięcie z poziomu przeglądarki może być nieskuteczne; wtedy potrzebne jest sprawdzenie źródła instalacji, wpisów konfiguracji i programów uruchamianych razem z systemem. Nie należy instalować kolejnego „dodatku ochronnego” z przypadkowej strony, ponieważ może on powtórzyć ten sam mechanizm.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w których występują problemy z oprogramowaniem, ustawieniami przeglądarki lub niepożądanymi zmianami w działaniu systemu. W takiej sytuacji istotne jest zachowanie informacji o objawach, nazwie rozszerzenia i adresach stron, na których pojawiała się zmieniona treść. Pozwala to odróżnić manipulację dodatku od zwykłego błędu strony, nieprawidłowej konfiguracji profilu albo działania innego programu zainstalowanego na komputerze.