Атака MarioNET позволяет хакерам контролировать ваш браузер даже после того, как вы покинули страницу атаки

Рост веб-технологий открыл новые возможности в Интернете. Браузеры стали более мощными по мере появления новых API и поддержки определенных функций.

Новая атака, названная МариоНЕТ исследователями, обнаружившими это, подчеркивает, что API-интерфейсами также могут быть злоупотребления, если отсутствуют надлежащие меры безопасности (что имеет место прямо сейчас).

Атака основана на существующих API HTML5, которые поддерживают все современные веб-браузеры. Он не требует установки программного обеспечения или взаимодействия с пользователем и сохраняется даже после того, как пользователь покидает веб-страницу, на которой была создана атака.

Злоумышленник может использовать ресурсы компьютера для всех видов деятельности, включая DDOS-атаки, операции криптомайнинга или взлом паролей.

Обновить : Вы встретите критический голос, который выступает против сценария, описанного в исследовательская статья здесь. Основная критика заключается в том, что метод атаки основан на функции PeriodicSync и на данный момент не является частью какой-либо спецификации. Конец

MarioNET использует Сервисные работники, скрипты, которые выполняются отдельно от посещенных веб-страниц и в фоновом режиме при атаке. Основная идея Service Workers состоит в том, чтобы переместить определенные вычисления в отдельный поток, чтобы они не блокировали или не замедляли работу приложения или веб-страницы, с которыми взаимодействует пользователь.

Жизненный цикл Service Workers полностью не зависит от страницы, на которой они были созданы. Сервис-воркеры не имеют доступа к DOM (объектной модели документа) веб-страницы, а также к переменным и функциям родительской страницы.

марионетка

Использование Service Workers изолирует систему от исходного веб-сайта, дает злоумышленнику постоянный контроль и затрудняет пользователям обнаружение того, что происходит.

В частности, наша система выполняет три важные задачи:

(i) изоляция от посещаемого веб-сайта, позволяющая детально контролировать используемые ресурсы; (ii) постоянство, непрерывно продолжая свою работу в фоновом режиме даже после закрытия родительской вкладки; и (iii) уклончивость, предотвращение обнаружения расширениями браузера, которые пытаются отслеживать активность веб-страницы или исходящую связь.

MarioNET регистрирует сервис-воркера, когда пользователь посещает веб-страницу, откуда могут исходить атаки. Возможности распространения атаки включают создание вредоносных веб-сайтов, взлом сайтов или использование рекламы.

Браузеры предоставляют пользователям мало информации о Service Workers; на самом деле браузеры не выделяют пользователям создание новых сервис-воркеров на сайтах. Нет ни предупреждений, ни подсказок, ни даже опции для отображения подсказки для запроса разрешения пользователя при создании сервис-воркеров.

Единственный запрос, который показывает существование сервис-воркера, — это первоначальный GET-запрос во время первого посещения веб-сайта пользователем, когда сервис-воркер впервые регистрируется. Хотя во время этого запроса GET расширение мониторинга может наблюдать за содержимым сервис-воркера, оно по-прежнему не будет обнаруживать подозрительный код — код, который будет выполнять вредоносные задачи, доставляется Слуге только после его первого взаимодействия с Кукольником, и это сообщение скрыто от расширений браузера

Что особенно беспокоит MarioNET, так это то, что он продолжает работать в фоновом режиме после того, как пользователь закрывает веб-сайт, на котором произошла атака. Контроль заканчивается, когда веб-браузер закрывается; исследователи нашли способ решить эту проблему, но для этого требуется взаимодействие с пользователем, поскольку для этого используется API Web Push.

Защита

сервисные работники отключают

Большинство современных браузеров включают опции для отображения существующих Service Workers. Пользователи Firefox могут загрузитьо: сервисные работники илиabout: debugging # worker и пользователи Chrome могут загрузить хром: // обслуживание-внутренние / сделать так.

Вы можете отменить регистрацию любого Service Worker, используя функции, представленные на этих страницах. Пользователи Firefox могут также полностью отключить Service Workers.

Обратите внимание, что это может повлиять на работу сайтов, которые используют его в законных целях. Вам нужно установить предпочтение dom.serviceWorkers.enabled значение false на about: config.

Некоторые расширения браузера, например Детектор обслуживающего персонала для Хром а также Fire Fox, уведомлять пользователей, когда веб-страница регистрирует Service Worker.

Теперь ваша очередь : Следует ли разработчикам браузеров реализовывать дополнительные меры безопасности? (через ZDNet)