Hyödyllisistä selainlaajennuksista tuli vakoiluohjelmia

Seitsemän vuoden ajan näennäisesti hyödylliset selainlaajennukset seurasivat hiljaisesti miljoonia käyttäjiä sekä Chromessa että Edgessä. Tietoturvatutkijoiden mukaan yksi kehittäjä muutti luotettavilta vaikuttaneet laajennukset datankeruutyökaluiksi, jotka poimivat selaushistoriaa, klikattuja linkkejä ja muita arkaluonteisia signaaleja. Tämä tapaus korostaa, kuinka laajennusten elinkaaren aikana tapahtuvat muutokset voivat muuttaa hyödyllisen työkalun vakavaksi yksityisyyden uhaksi.

Kuinka hyödyllisistä työkaluista tuli vakoiluvälineitä

Koi Securityn tuore raportti kuvaa, että käyttäjänimellä ShadyPanda toiminut kehittäjä lataä useita aluksi harmittomalta vaikuttaneita laajennuksia vuodesta 2018 lähtien. Alkuvaiheessa ne toimivat kuten muutkin apuohjelmat: ne tarjosivat siivous-, hallinta- ja käytettävyyspalveluja, ja osa sai erityistä varmennusta, joka rauhoitti käyttäjiä. Kun asennusmäärät kasvoivat ja laajennuksilla oli laajempi käyttäjäkunta, myöhemmät päivitykset sisälsivät haitallista koodia, joka muutti käyttöliittymälliset apuvälineet jatkuvaksi tiedonkeruujärjestelmäksi.

Rikastetun version takana oli suunnitelmallista toiminnallisuutta: uusi koodi laajensi laajennusten käyttöoikeuksia ja lisäsi taustaprosesseja, jotka pystyivät kuuntelemaan, tulkitsemaan ja välittämään tietoja ulkoisiin palvelimiin. Tämä on tyypillinen malli niin sanotuille maliciösille selainlaajennuksille — alkuun saadaan käyttäjät luottamaan hyödylliseen toiminnallisuuteen ja sitten laajennus muuttuu etänä ohjattavaksi tiedonkeruuseen. Hyväksi osoittautunut sosiaalinen insinöörityö ja hyvä näkyvyys kaupoissa auttoivat leviämisessä: osa laajennuksista näkyi hakutuloksissa ja suosituissa kategorioissa, mikä lisäsi asennuksia ja siten myös mahdollisuutta profiloida käyttäjäkuntia entistä tarkemmin.

Vaikka kyseiset laajennukset esiintyivät selaimen hallintaan ja optimointiin liittyvinä työkaluina, niiden todellinen tarkoitus oli seuranta ja datan etäkeräys. Tämä muutos tapahtui vähitellen — versioissa, joita käyttäjät päivittivät, lisättiin uusia komentoja, uusia endpointeja ja laajennettuja oikeuksia, kuten pääsy välilehtitietoihin ja verkkotapahtumiin. Kun muutokset olivat kaikkien käyttäjien laitteissa, laajaa datankeruuputkea oli helppo käyttää monenlaisessa analytiikassa, profiloinnissa ja mahdollisesti tarjous- sekä kohdistetussa mainonnassa.

Raportissa mainitut laajennukset esiintyivät pääasiassa Chrome Web Storessa ja Microsoft Edgen lisäosakaupassa. Yhdessä ne saavuttivat yli 4,3 miljoonan asennuksen tason kummassakin ympäristössä yhteensä. Tunnetuimpia esimerkkejä ovat muun muassa Clean Master, jolla oli yksin yli 200 000 asennusta, sekä WeTab, jonka kautta kertynyt latausmäärä lisäsi kokonaislukemia merkittävästi. Nämä nimikkeet näyttävät arkipäiväisiltä, mutta niiden jälkeen voi piillä laaja seuranta- ja personointimekanismi, joka hyödyntää sekä selaustietoja että käyttäjävuorovaikutusten hienojakoista mittaamista.

Mitä tietoja kerättiin

Tutkijat havaitsivat, että laajennukset keräsivät jatkuvasti monipuolisen joukon signaaleja: vieraillut URL-osoitteet, hakuhistoria sekä yksityiskohtaiset vuorovaikutusmittarit, kuten hiiren klikkaukset, vierityskäyttäytyminen ja käyttäjän liikkuminen sivun sisällä. Monet näistä vuorovaikutuspiirteistä pystyttiin päättelemään HTTP-referrer-tiedoista ja muista selaimen lähettämistä metatiedoista. Kerätyt tiedot lähetettiin toistuvasti tuntemattomille etäpalvelimille, mikä mahdollisti jatkuvan seurannan ilman, että käyttäjät välttämättä huomasivat mitään poikkeavaa.

Teknisesti katsottuna keräysmekanismi hyödynsi sekä taustaskriptejä että laajennuksen oikeuksia, joiden avulla laajennus pystyi lukemaan välilehtien sisällön tai tarkastelemaan URL-osoitteita. Kun laajennuksella on oikeudet esimerkiksi tabs- tai webRequest-API:hin, se voi kerätä laajasti tietoa selaimen toiminnasta. Lisäksi dataa saatettiin rikastaa paikallisella tallennustilalla ja väliaikaistiedostoilla, jolloin tietopaketteja koottiin ennen niiden lähettämistä ulkoverkon osoitteisiin. Tämä käytäntö lisää riskiä siitä, että tiedot joutuvat kolmansien osapuolten analyysiin tai kaupalliseen hyödyntämiseen.

Tällainen massadata mahdollistaa käyttäjäprofiilien rakentamisen, kiinnostusperusteisen kohdennuksen sekä pitkän aikavälin seurannan eri selausistuntojen yli. Kun kerättävät signaalit yhdistetään esimerkiksi IP-osoitteisiin, selaimen fingerprint-tietoihin tai kirjautumistietoihin (jos käyttöoikeudet sallivat), seurannan tarkkuus kasvaa huomattavasti ja yksityisyyden loukkaantumisen riski nousee. Lisäksi data voi toimia lähtöaineistona identiteettivarkauksille, kohdennetuille huijausyrityksille tai potentiaalisesti laajemmalle haittaohjelmaoperaatiolle.

Mitä sinun tulisi tehdä nyt

Google ja Microsoft ovat vahvistaneet, että haitalliset laajennukset on poistettu heidän kaupoistaan, mutta kaupan poisto ei tarkoita sitä, että laajennus poistettaisiin automaattisesti käyttäjän laitteesta. Kaupanpoisto estää vain uusien asennusten tekemisen ja poistaa näkyvyyden hakutuloksista. Siksi sinun kannattaa toimia itse varmistaaksesi selaimesi ja tietojesi suojan.

Aloita tarkistamalla asennetut laajennukset: avaa selaimesi laajennusten hallinta ja käy läpi kaikki merkinnät. Poista välittömästi kaikki, jotka ovat tuntemattomia, vanhentuneita tai joiden kehittäjä vaikuttaa epäilyttävältä. Erityisesti poista laajennukset, joilla on laajat oikeudet, joita ne eivät selkeästi tarvitse — esimerkiksi pääsy kaikkiin välilehtitietoihin, verkkopyyntöihin tai paikalliselle tiedostojärjestelmälle.

Kun epäilyttävät laajennukset on poistettu, tyhjennä synkronoidut selaindata-asetukset, sillä monet selaimet pitävät tietoja pilvessä ja voivat säilyttää kopion laajennuksen keräämästä datasta. Käy läpi tilisi synkronointiasetukset ja harkitse uloskirjautumista ja takaisin kirjautumista varmistaaksesi synkronoinnin uudelleenkäynnistymisen. Jos havaitset poiston jälkeen epätavallista käytöstä, suorita järjestelmäskannaus luotettavalla tietoturvaohjelmalla ja muuta kriittisten tilien salasanat varotoimena.

Lisäksi katso laajennusten asentamishistoria ja versiotiedot — jos tiedät, milloin epäilyttävä toiminta alkoi (päivityksen jälkeen), se auttaa paikallistamaan aikajanan ja rajoittamaan vahinkoa. Tarkista myös selaimen lokit ja verkkoanalytiikka; poikkeava lähtevä liikenne tai yhteydet tuntemattomiin domain-nimiin voivat viitata edelleen aktiiviseen tietojen lähetykseen. Jos et ole varma epäillyn laajennuksen käyttäytymisestä, voit luoda puhtaan selainprofiilin tai asentaa selaimen uudelleen ja palauttaa vain luotettavat laajennukset manuaalisesti.

Tässä muutamia konkreettisia toimenpiteitä ja parhaita käytäntöjä selainlaajennusten hallintaan ja selainturvallisuuteen:

• Pidä selain ja laajennukset ajan tasalla: uudemmat versiot yleensä korjaavat tietoturva-aukkoja ja sisältävät parannuksia laajennusten valvontaan.
• Arvioi laajennuksen oikeudet: vältä asentamasta laajennuksia, jotka pyytävät tarpeettomia oikeuksia (tabs, webRequest, history).
• Rajoita lisäosien määrä: mitä vähemmän laajennuksia, sitä pienempi hyökkäyspinta-ala.
• Käytä luotettavia lähteitä: lataa laajennuksia vain virallisista kaupoista ja tunnetuilta kehittäjiltä; tarkista arvostelut ja päivityshistoria.
• Seuraa verkon liikennettä: yritykset voivat hyödyntää keskitettyjä palomuureja ja EDR-työkaluja epäilyttävän ulosmenevän liikenteen tunnistamiseen.
• Käytä säätöjä tai politiikkoja: organisaatiot kannattaa asettaa laajennuspolitiikat, jotka sallivat vain hyväksytyt laajennukset (whitelist) ja estävät tuntemattomat kehittäjät.

Yritysympäristöissä kannattaa hyödyntää keskitettyä hallintaa (esimerkiksi Group Policy tai MDM), joka estää valvomattomien laajennusten asennukset ja sallii vain hyväksytyt työkalut. Myös lokitiedon keruu ja analysointi mahdollistavat nopeamman reagoinnin, jos epäilyttävää toimintaa havaitaan jonkun työntekijän laitteessa. Lisäksi tietoturvaarkkitehtuurissa kannattaa huomioida, miten selainlaajennukset voivat altistaa pilvessä olevia palveluja ja työtiloja haitalliselle profiloinnille tai tietovuodoille.

Ota myös huomioon vaihtoehtoiset suojauskeinot: käyttöoikeuksien minimointi, selaimen ekstensiopolitiikat ja erilliset profiilit työ- ja yksityiskäyttöä varten vähentävät riskiä. Yksityiskäyttäjälle keinoja ovat esimerkiksi luotettujen tietoturva- ja haittaohjelmasuojausohjelmien käyttö, mainosten ja seurannan estävien lisäosien harkittu asentaminen (esim. mainosten blokkerit, tracker-estäjät) ja säännöllinen tilien sekä salasanojen tarkistus.

Tapaus muistuttaa siitä, että vaikka laajennus näyttäisi aluksi harmittomalta tai hyödylliseltä, sen toiminta voi muuttua päivityksen myötä. Jatkuva valppaus, oikeuksien analysointi ja tunnettuuden lisääminen käyttäjäkunnassa ovat avainasemassa. Lopulta jokainen käyttäjä voi pienentää omaa altistustaan pitämällä ohjelmistot ajan tasalla, rajoittamalla lisäosien määrää ja seuraamalla selaimen toimintaa säännöllisesti.