Malicious Chrome extension is next to impossible to manually remove
Proving once again that Google Chrome extensions are the Achilles heel of what's arguably the Internet's most secure browser, a researcher has documented a malicious add-on that tricks users into installing it and then, he said, is nearly impossible for most to manually uninstall. It was available for download on Google servers until Wednesday, 19 days after it was privately reported to Google sec
モジラ、「Firefox」に通知なく拡張機能をインストール--非難殺到で中止
Mozillaが米国で実施した、テレビドラマ「MR. ROBOT」のハッカーが登場するオンラインゲームとのタイアップ計画は、ほぼ開始直後に逆効果になった。 「Firefox」のユーザーから、米国時間12月13日より、明確な許可の確認や機能の説明もなしに、「MY REALITY IS DIFFERENT THAN YOURS」（私の現実はあなたのものと違う）と書かれているだけの謎めいた拡張機能が同ブラウザにインストールされたと苦情が出るようになった。あるFirefoxユーザーがRedditに、「私にはそれ（拡張機能）が何か、どこから来たものかまったく分からない。怖くなって、すぐにアンインストールした」と書き込んだところ、Mozillaに非難が殺到した。 MozillaはMR. ROBOTとの提携を通じて、先週「Looking Glass」という拡張機能をリモートで米国のユーザーのマシンにイン
感染してもタブを閉じれば無害、アシストがブラウザー分離ソフト
アシストは2017年11月2日、Webサイト閲覧用のブラウザーをイントラネットと分離するソフト「Ericom Shield」を2018年1月に発売すると発表した。製品はイスラエルのエリコム・ソフトウエアが開発した。マルウエアに感染させる悪性のWebサイトに企業内の利用者がアクセスしても、端末ローカルやLANに影響を与えないようにする。 新製品はDMZ（非武装地帯）やクラウドにあるサーバーにインストールして利用する。Ericom ShieldがブラウザーとしてWebサイトにアクセスし、LAN内の端末は画面転送でWebサイトの画面を閲覧する。Ericom Shield内のブラウザーは使い捨てのLinuxコンテナーとして動作する。「もしWebサイトでマルウエアに感染したとしても、タブを閉じればマルウエアはなくなる」（アシストの重松俊夫 仮想化事業推進室 西日本技術部 部長）。 利用者は、LAN内
サポート詐欺で仮想通貨を発掘させる攻撃発生--別の犯罪も
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます トレンドマイクロは、偽のサポートサイトにアクセスしたユーザーのコンピュータに仮想通貨を発掘させるコードを拡散する攻撃を報告した。攻撃の9割近くが日本に集中しているという。 今回の攻撃では、改ざんされたウェブサイトへユーザーがアクセスした際、ウェブブラウザの種類によって異なる手法が使われる。 Chromeの場合は、ウェブページにフィッシング攻撃用のスクリプトが直接組み込まれ、このスクリプトによってHoefler Textフォントのダウンロードを求める通知が表示される。しかし、中身は不正な実行ファイルになっている。 Internet Explorerの場合、仮想通貨のMoneroを発掘させるJavaScript形式の「Coinhive」を組
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
Electronのwebview要素ではallowpopups属性をつけてはいけない - 葉っぱ日記
Electronを使ってブラウザのようなアプリケーションを作る場合には webviewタグが使用される。例えば、アプリケーション内にexample.jpのサイトを表示するには以下のようにHTMLに記述する。 <webview src="http://example.jp/"></webview> ここで、webviewタグにallowpopups属性を付与すると、example.jpサイト内のコードからwindow.open等を使って新たにウィンドウを開くことができるようになる。このとき、example.jpに悪意があり以下のようなコードが含まれているとする。 if( typeof require === "undefined" ) window.open( 'http://example.jp/', '', 'nodeIntegration=1'); else require( "chi
AVTOKYO 2014で「CSPが切り開くWebセキュリティの未来」という題で話してきた - 葉っぱ日記
AVTOKYO2014で、にしむねあさんといっしょに「はせむねあ」というユニット名でContent-Security-Policyをテーマに話をしてきました。 Future of Web Security Opened up by CSP from Muneaki Nishimura 内容はスライドのとおりで、攻撃者はFiddlerなどを使って任意のCSP違反レポートJSONを送信可能であること、Firefoxの場合にはCSP違反レポートのJSON内に「<」「>」などが含まれるので、違反レポートを表示する管理画面でのエスケープ漏れがあると違反レポートを通じて管理画面内でXSSする、などの話を行い、実際に管理画面でのXSSのデモを行いました。 デモはあんまり細かいことは考えてなかったんですが、アドリブ苦手なにしむねあさんがいい味を出してて、横で見ていても楽しかったです。ちなみに直前の打ち合わ
ネット通信を匿名化する「Tor」とFirefoxの開発元「Mozilla」が提携
By Johan Larsson Firefoxの開発元であるMozillaが、どこからアクセスしているかを隠して匿名化できるブラウザ「Tor Browser」などを開発するTorプロジェクト、さらにはワシントンDCに本部のあるインターネットのオープン化やフリー化を推進する非営利団体Center for Democracy＆Technologyと提携し、Mozillaプロダクトのプライバシー面の強化を共に行っていくことが明かされました。 Partnering with Mozilla | The Tor Blog https://blog.torproject.org/blog/partnering-mozilla Introducing Polaris Privacy Initiative to Accelerate User-focused Privacy Online | Mozil
Android に標準搭載されたブラウザの脆弱性について - 9月 - 2014 - ソフォス プレス リリース、セキュリティニュース、ソフォスに関するニュース記事 - Sophos Press Office | Sophos News and Press Releases
※この記事は本社サイト 「Naked Security」掲載の記事を翻訳したものです※ by Paul Ducklin on September 1, 2014 この記事に関する最新の更新情報は Naked Security 掲載記事をご確認ください。 ～深刻なプライバシー侵害が発生する恐れあり、対策方法～ 独立系セキュリティ研究者の Rafay Baloch 氏が Android のブラウザアプリに存在するセキュリティバグについての報告しました。このバグによって、他の Web サイトのデータを盗み出すことが可能になります。 同氏は、Metasploit でこのバグを「深刻なプライバシー侵害を引き起こすもの」と評しており、極めてショッキングなバグであることを説明するためのビデオを今後作成することになっています。 では、一体どのようなバグであり、私たちはどのように問題を回避すればよいのでしょ
Masato Kinugawa Security Blog: ブラウザのXSS保護機能をバイパスする(4)
また最近IEのXSSフィルターのバイパスに挑戦してみました。 いくつか面白い隙をみつけたので紹介します。 今回は文字列リテラルでのXSSに対する検知をバイパスします。 1. onerrorとthrowを使ってXSSする 以前Gareth Heyes氏が紹介していた、onerrorとthrowの手法を使うと、XSSフィルターをバイパスできることに気が付きました。 XSS technique without parentheses http://www.thespanner.co.uk/2012/05/01/xss-technique-without-parentheses/ Win7 IE9(ドキュメントモードがIE9)で有効です。IE10以降では改善され、"[JavaScriptの区切り]onerror= がフィルタ対象になっているようです。 http://vulnerabledoma.i
Firefox、マルウェア検出機能を強化
Firefox web browser - Faster, more secure & customizable Mozillaは7月23日(米国時間)、「Improving Malware Detection in Firefox｜Mozilla Security Blog」において、これまでGoogleのSafe Browsing Serviceを活用して悪意あるWebサイトを開いてしまう行為を防止してきたが、この機能の適用範囲を拡大し、ダウンロードするファイルに関しても比較を適用し、マルウェアなど悪意あるファイルのダウンロードを防止するようになったと発表した。 またWindowsで動作するFirefox限定となるが、2014年9月にリリースが予定されている次期Firefoxでは、アプリケーションをダウンロードした場合にはそのアプリケーションのシグネチャもチェックするようになるという。
Google Chromeが盗聴ツールに？ 研究者が「バグ」報告
不正サイトを使ってChromeを盗聴ツールとして利用すれば、コンピュータ周辺で交わされる電話や会議などの会話を録音できてしまうと研究者は解説している。 米GoogleのWebブラウザ「Chrome」に、音声認識機能を使ってユーザーのコンピュータ周辺の音声を収録できてしまうバグが存在するとして、イスラエルの研究者が自身のブログで実証ビデオを公表した。 研究者がWebサイトに掲載した実証ビデオでは、To doリストを装った不正サイトを使ってユーザーが音声認識を有効にするよう仕向けている。Chromeのタブには音声を収録中であることを示す赤い信号が点滅する。ところが、このWebサイトを離れて他のWebサイトに切り替え、赤い信号が消滅した後も、不正サイトで密かに音声の収録を続けることができてしまうという。 音声収録機能は休止状態にしておいて、例えば「NSA」「シリア」といった特定の単語が聞こえると
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
閲覧ページに仕込まれた暗号通貨のマイニングスクリプトをブロック「minerBlock」／「Google Chrome」版と「Opera」版がラインナップ。「Firefox」版のリリース計画も【レビュー】
WebUSBでレイヤーが低まるWeb開発 - Speaker Deck
最多脆弱性ブラウザはChrome、最もパッチが適用されていないブラウザは（フレクセラ） | ScanNetSecurity
Webブラウザーの動作を妨げる迷惑ソフトを一掃してくれるGoogle製のクリーナーツール - 窓の杜
セキュリティソフト同梱のWebブラウザに脆弱性、修正まで使用停止を（JVN） | ScanNetSecurity
アダルト動画をタップ→スマホブラウザーを乗っ取られ、登録料金9万9800円要求 日本のアダルトサイトで“新手”のワンクリック詐欺登場
カスペルスキー、iOS向けセキュリティブラウザー「Kaspersky Safe Browser」 
【海外セキュリティ】第92回：Google Safe Browsing APIは無意味？ ほか 