2000件以上のGoogle Chrome向け拡張機能がセキュリティを低下させているという指摘
「Chromeウェブストア」で配布されている拡張機能の中には、広告ブロッカーを装ったマルウェアや、個人情報を盗み出す拡張機能などの不正な拡張機能が多く含まれていることが報じられてきました。新たに、セキュリティに関する研究団体CISPAの調査によって、2000件を超えるGoogle Chrome向け拡張機能にセキュリティヘッダーを改ざんする機能が搭載されていることが判明しました。 madweb21-paper16-pre_print_version.pdf (PDFリンク)https://madweb.work/preprints/madweb21-paper16-pre_print_version.pdf Thousands of Chrome extensions are tampering with security headers | The Record by Recorded F
ゴシップサイトブロッカーがヤバイ！本名は？彼氏は？彼女は？身長や年収は？年齢や学歴まとめ！現在の状況についても調査！ - カトゆー家断絶
こんにちは！(*＾＾*) 当ブログにご訪問いただきありがとうございます！ 最近知名度を増してきているゴシップサイトブロッカー という拡張をご存知でしょうか？ ゴシップなサイトをブロックする……、 本当だとしたら凄いですよね！笑 そこで今回は気になるこのゴシップサイトブロッカーが、 どんな経緯で誕生したのか？ や、 使い方について調べてみました！ ゴシップサイトブロッカーの経歴は？ ゴシップサイトブロッカーの基本情報！ ゴシップサイトブロッカーの導入方法は？ ゴシップサイトブロッカーの使い方！ まとめ ゴシップサイトブロッカーの経歴は？ 気になるゴシップサイトブロッカーが 誕生した背景についてまとめます。 昨今SNSを中心に、Google検索が使い物にならないと 度々話題になっています。 「やたら上位に出てくるまとめサイトや商品への誘導記事…」最近のネット検索、欲しい情報手に入らなくなってる
Chrome拡張機能の安全性がわかる「CRXcavator」--Chromeウェブストアにリストされる12万件の調査結果は
Chromeウェブストアにリストされている12万463件の「Google Chrome」の拡張機能とアプリを調査したところ、約35％があらゆるウェブサイトにあるユーザーのデータを読み込みむことができることがわかった。また、これら約12万のうち、プライバシーポリシーを掲示していないものは約85％にものぼった。つまり、その拡張機能の開発者がユーザーデータの処理をどのように行うかを記すドキュメントがないということである。 調査は米国のサーバーセキュリティ企業Duo Labsが、自社開発した新しいツール「CRXcavator」を使って調べたものだ。調査ではまた、Chrome拡張機能の約77％がサポートサイトを掲示しておらず、約32％が既知の脆弱性を含むサードパーティのJavaScriptライブラリを使っていることもわかった。クッキーデータを読むことができるものは9％あったという。 調査を行なった研
入力された認証情報の漏えいをチェックする「Chrome」拡張機能がリリース
Googleは、Safer Internet Dayにあたる米国時間2月5日、「Password Checkup」という新しい「Chrome」拡張機能をリリースした。ログインフォームに入力されたユーザー名とパスワードの組み合わせが、過去のデータ漏えいやセキュリティ事件によって、オンラインに流出していないかどうかをチェックするものだ。 この拡張機能は、ユーザーがオンラインサービスにログインしようとするたびに動作する。ログインフォームに入力されたユーザー名とパスワードを、過去の公開流出データからGoogleが作成した40億件を超える認証情報のデータベースと照合する。 ユーザー名とパスワードの組み合わせが、Googleの社内データベースの中の安全でない認証情報と一致した場合、認証情報を変更する必要があることを示すポップアップ警告が表示される。 Googleによると、この拡張機能はプライバシーを念
Googleがインターネット上で使用するパスワードがデータ侵害にあった危険なものでないかを逐一チェックしてくれる「Password Checkup」をリリース
Googleがインターネット上で使用されるアカウントの不正使用を防止するため、入力したパスワードが第三者によるデータ漏えいの影響を受けていないかを自動で調べる拡張機能「Password Checkup」をリリースしました。 Google Online Security Blog: Protect your accounts from data breaches with Password Checkup https://security.googleblog.com/2019/02/protect-your-accounts-from-data.html Googleでは第三者によるデータ漏えいの影響を受けたGoogleアカウントのパスワードを定期的にリセットしています。この戦略により、「過去2年間で約1億1000万人以上のGoogleユーザーをデータ侵害の魔の手から保護することに成功して
不正な拡張機能が相次ぐChrome、Googleが防止対策を強化へ - ITmedia NEWS
不正が相次ぐ事態に対応して、ユーザーによるコントロールの強化や、難読化されたコードのある拡張機能の締め出しを目指す。 米Googleは10月1日、WebブラウザChromeの拡張機能について、不正防止のための新たな対策を講じると発表した。悪質なコードを仕込んだ拡張機能が相次いで見つかっている事態を受け、摘発の強化を図る。 Googleの発表によると、次バージョンの「Chrome 70」からは、拡張機能によるWebサイト上のデータの読み取りや変更を許可する「ホストパーミッション」について、ユーザーがコントロールできるようにする。ユーザーは、拡張機能がホストアクセスできるサイトをカスタム版のリストに記載されたサイトに限定したり、現在閲覧中のページに対してクリックしなければアクセスできない設定を選択したりできるようになる。今後は強力な権限を持つ拡張機能に対する審査を強化する方針だ。 Chrome
Google Playの安全性は比較的高いがChrome Web Storeはピラニアだらけ？ - データを盗むChrome拡張機能をKasperskyが報告
Google、Apple、Amazonなどソフトウェアをダウンロードできるストアを持つ企業は、セキュリティベンダーと変わらないレベルで日々マルウェアと戦っている。と切り出すのはKaspersky labの公式ブログ。名だたる世界規模のIT企業は常にマルウェアとの終わりのない闘いに挑んでいる。情報が自由に行き交うことがインターネットの大いなる魅力だが、自由を守るには不断の努力が必要になる。Kaspersky labの公式ブログにおいて、Chrome Web Storeにおけるマルウェア紛れ込みに関する事例が報告されている。 アプリやアドオンのストアには一定の安心感を持ってしまうが、昔からマルウェアが混入する例は数多く報告されている。同社に限らずセキュリティベンダーは、公式のアプリストアからアプリを入手することを強く推奨しているが、だからといってこれらのサイトにマルウェアがないわけではない。G
不正な Chrome 拡張機能「DROIDCLUB」、正規ストア利用者 42 万人に影響か | トレンドマイクロ セキュリティブログ
ホーム » 不正プログラム » 不正な Chrome 拡張機能「DROIDCLUB」、正規ストア利用者 42 万人に影響か トレンドマイクロの「Cyber Safety Solutions チーム」が、数百万ユーザに影響を与える Chrome の不正な拡張機能（「BREX_DCBOT.A」として検出）を確認しました。利用されている最も古い C&C サーバにちなんで「DROIDCLUB（ドロイドクラブ）」と名付けられたこのマルウェア（ボット）は、Chrome の拡張機能として拡散し、ユーザが訪問した Web サイトに広告や仮想通貨発掘コードを注入します。 上述した機能に加え、DROIDCLUB は正規のセッションリプレイライブラリを悪用し、ユーザのプライバシーを侵害します。このライブラリはユーザが訪問するすべての Web サイトに注入されます。セッションリプレイ機能は、本来
Malicious Chrome extension is next to impossible to manually remove
Proving once again that Google Chrome extensions are the Achilles heel of what's arguably the Internet's most secure browser, a researcher has documented a malicious add-on that tricks users into installing it and then, he said, is nearly impossible for most to manually uninstall. It was available for download on Google servers until Wednesday, 19 days after it was privately reported to Google sec
モジラ、「Firefox」に通知なく拡張機能をインストール--非難殺到で中止
Mozillaが米国で実施した、テレビドラマ「MR. ROBOT」のハッカーが登場するオンラインゲームとのタイアップ計画は、ほぼ開始直後に逆効果になった。 「Firefox」のユーザーから、米国時間12月13日より、明確な許可の確認や機能の説明もなしに、「MY REALITY IS DIFFERENT THAN YOURS」（私の現実はあなたのものと違う）と書かれているだけの謎めいた拡張機能が同ブラウザにインストールされたと苦情が出るようになった。あるFirefoxユーザーがRedditに、「私にはそれ（拡張機能）が何か、どこから来たものかまったく分からない。怖くなって、すぐにアンインストールした」と書き込んだところ、Mozillaに非難が殺到した。 MozillaはMR. ROBOTとの提携を通じて、先週「Looking Glass」という拡張機能をリモートで米国のユーザーのマシンにイン
webextension対応のバタバタとfirefox quantumとwebextensionについて思っていること
ここ最近は学生の頃から作っていた firefoxのアドオン stickynotes をwebextensionに対応させる作業をしていた。 夏休みの宿題ばりにギリギリでfirefox quantumのリリース日にwebextensionバージョンをあげるという始末だった。 そういえばドリル系はさっさと済ませるが、読書感想文とか自由研究とかがギリギリになっちゃうタイプだった。 で、案の上、ユーザからちらほら問い合わせのメールがきた。 本当は、データをsqliteからindexedDBに移行するバージョンを移行期間をたっぷり設けてリリースするはずだったのだが、 あまりにもギリギリすぎて結局AMOでacceptされなかった。 どうやら最近はレビューもかなり自動化されていて、レガシーなアドオンはacceptされなくなっているよう。 で結局、移行するバージョンは開発者モードでインストールする必要があ
Google Chromeの人気拡張機能に不正なコード混入、作者にフィッシング詐欺攻撃
「Web Developer for Chrome」がハッキングされ、不正なコードを仕込んだバージョンがアップロードされてしまっていた。 米GoogleのWebストアで提供されている、Chromeブラウザ向けの拡張機能「Web Developer」が何者かにハッキングされ、不正なコードを仕込んだバージョンがアップロードされる事件が起きた。作者は8月2日、更新版を公開してユーザーにアップデートを促している。 Web Developerは各種のWeb開発ツール用のボタンをブラウザに表示するためのツールバーで、作者は米ソフトウェアエンジニアのクリス・ペデリック氏。英語版のユーザーは100万を超えている。 ペデリック氏は8月2日、Twitterで「Web Developer for Chromeのアカウントが不正侵入され、ハッキングされたバージョンの拡張機能（0.4.9）がアップロードされた」と伝
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
新しいfirefoxのweb extensionsがChromeExtentionとの互換性そのままだった - Screaming Loud
今回、firefox dev conferenceに参加してきました。 www.mozilla.jp そこで聞いてきた、webextensionsに関して試してみたので、ログっておきます。 firefoxはアドオンの機能に関して、Chromeの拡張機能と同じ仕様を搭載することを発表しています。dev.mozilla.jp 実際、どのようにして作るのか紹介します。 WebExtensionsに関しては、WebExtensions - MozillaWikiに書いてあります。 環境構築 以下からFirefox Developer Editionをダウンロードします。 Firefox のダウンロード — 自由な Web ブラウザ — Mozilla リンクのURLからしてバージョンが変わると見れなくなりそうなので、 リンクに飛べない場合は、「DeveloperEdition」で検索してダウンロー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「アバスト」と「AVG」のFirefox拡張機能がアドオンサイトから削除／ポリシーに違反してユーザー情報を収集・送信していた疑い
広告ブロックツールが軒並み無効化される？ Googleが本格的な排除を検討中との報道【やじうまWatch】
人気のFirefox拡張機能「Stylish」がポリシー違反でブロック、すべての閲覧履歴を収集か／有志のセキュリティエンジニアによる調査で発覚
MSがグーグルのChromeにフィッシング検出機能を提供
閲覧ページに仕込まれた暗号通貨のマイニングスクリプトをブロック「minerBlock」／「Google Chrome」版と「Opera」版がラインナップ。「Firefox」版のリリース計画も【レビュー】
【やじうまWatch】消えたページのアーカイブを自動表示、Internet ArchiveからChromeの拡張機能が登場