Oblíbené Chrome rozšíření pro vývojáře skončilo mimo Chrome Web Store poté, co v něm výzkumníci našli skrytý mechanismus pro sběr a odesílání dat o prohlížení. Případ ModHeaderu ukazuje, že ani vysoký počet instalací a oficiální distribuce nejsou zárukou bezpečnosti Chrome rozšíření.

Co je Chrome rozšíření ModHeader a proč na tom záleží

ModHeader je Chrome rozšíření používané především vývojáři, QA týmy a bezpečnostními profesionály k úpravě HTTP hlaviček při testování aplikací. Toto Chrome rozšíření mělo téměř 900 tisíc aktivních instalací, což z něj dělá standardní součást vývojářské výbavy v řadě firem včetně malých a středních podniků, které si na podobné nástroje zvykly bez hlubší bezpečnostní kontroly.

Jak sledovací kód v Chrome rozšíření fungoval

Výzkumníci ze Stripe OLT Security Operations Center objevili ve verzi 7.0.18 tohoto Chrome rozšíření kód schovaný uvnitř service workeru, vedle běžné funkcionality pro úpravu hlaviček. Skrytá část zahrnovala:

• generování unikátního identifikátoru zařízení,
• sběr navštívených domén (až 1000 unikátních záznamů na zařízení),
• šifrování nasbíraných dat pomocí AES-GCM s pevně zakódovaným klíčem,
• naplánovaný upload dat s mechanismem opakovaných pokusů a následným úklidem stop.

Automatizované bezpečnostní scannery přitom Chrome rozšíření dlouhodobě hodnotily jako nízké riziko. Statická analýza a reputace v obchodě zjevně nestačí k odhalení podobné funkcionality.

Proč je riziko u vývojářského Chrome rozšíření vyšší

Chrome rozšíření má z principu velmi široká oprávnění: může číst a upravovat obsah každé navštívené stránky a sledovat veškerý síťový provoz. U cílové skupiny ModHeaderu, tedy vývojářů a IT profesionálů, to představuje zvýšené riziko, protože historie navštívených domén může obsahovat SAS URI, odkazy pro reset hesla, magic-link přihlášení, pozvánky do interních systémů nebo tokeny přímo v URL adrese. Přístup k takovým datům umožňuje kompromitaci firemní infrastruktury i bez přímého útoku na uživatelský účet.

Podle výzkumníků nebyla aktivní exfiltrace dat v dané verzi Chrome rozšíření prokázána. Mechanismus sběru, šifrování a odesílání dat byl ale plně funkční a připravený. Budoucí aktualizace rozšíření by tak mohla sledování aktivovat bez nutnosti nového souhlasu uživatele nebo přidání nových oprávnění, protože ta potřebná už mělo.

Doporučení pro firmy používající Chrome rozšíření

Organizace využívající spravovaná Chrome prostředí by měly zkontrolovat přítomnost ModHeaderu napříč firemními zařízeními a toto Chrome rozšíření odstranit, případně zablokovat jeho ID centrální politikou. Doporučuje se také vyčistit související data prohlížeče a ověřit, že rozšíření nepřetrvává díky synchronizaci účtu nebo skupinové politice.

Obecněji tento případ ukazuje na potřebu pravidelného auditu nainstalovaných Chrome rozšíření, zejména v prostředích s přístupem k citlivým interním systémům. Reputace v obchodě, digitální podpis a vysoký počet instalací jsou indikátory původu, nikoli bezpečnosti.

Shrnutí: rizika Chrome rozšíření pro firmy

Případ ModHeaderu je připomínkou, že Chrome rozšíření patří mezi nejvíc podceňované vektory útoku v běžném firemním provozu. Široká oprávnění v kombinaci s důvěrou plynoucí z popularity a distribuce přes oficiální obchod vytvářejí ideální podmínky pro dlouhodobě neodhalený sběr dat. Firmy, které spoléhají na Chrome rozšíření podobného typu, by měly zavést pravidelnou revizi instalovaných doplňků jako standardní součást bezpečnostní hygieny.

Zdroje

• Stripe OLT Security Operations Center, Chrome extension hidden data exfiltration report
• Cybernews, Uninstall this Chrome extension now: it contains surveillance code