Tiện ích mở rộng AVG trên Chrome gây lộ lọt dữ liệu người dùng

09:35 | 04/01/2016 | LỖ HỔNG ATTT

Tiện ích mở rộng trên Chrome do AVG AntiVirus tự động cài đặt trên hệ thống người dùng gây nguy cơ lộ lọt lịch sử duyệt web và các thông tin cá nhân khác trên Internet. Đây là phát hiện của nhà nghiên cứu Tavis Ormandy thuộc nhóm Google Project Zero.

Tiện ích mở rộng AVG trên Chrome gây lộ lọt dữ liệu người dùng

Theo báo cáo của Ormandy, tiện ích Chrome này được gọi là AVG Web TuneUp được cài đặt trên hệ thống người dùng cuối cùng với phần mềm diệt virus của AVG. Tiện ích gây ra nhiều lỗ hổng cho trình duyệt, dẫn tới việc hơn 9 triệu người dùng rơi vào nguy hiểm.

Theo giải thích của nhà nghiên cứu, tiện ích này được thiết kế để bổ sung số lượng lớn các giao diện lập trình ứng dụng (API) JavaScript cho Chrome với mục đích chiếm dụng cài đặt tìm kiếm và trang tab mới. Tuy nhiên, nhiều API trong số đó bị lỗi. Ngoài ra, Ormandy lưu ý quá trình cài đặt tiện ích này cũng rất phức tạp vì nó có thể qua mặt các cơ chế kiểm duyệt mã độc của Chrome, vốn được thiết kế nhằm ngăn chặn việc lạm dụng API của tiện ích.

Trong số các lỗ hổng của AVG Web TuneUp, nhà nghiên cứu đề cập đến lỗi XSS (Cross-Site Scripting) trong API điều khiển, cho phép website thực thi ngôn ngữ lập trình trên các tên miền khác. Theo Ormandy, website có thể đọc được các email từ địa chỉ mail google.com và thực hiện các hành vi khác bởi lỗ hổng ở mức rất nghiêm trọng.

Nhà nghiên cứu cũng cho biết tiện ích API khiến cho lịch sử duyệt web của người dùng bị lộ trên Internet. Ormandy lưu ý tiện ích và các API có lỗi cũng có thể được sử dụng để thực thi mã từ xa nếu kẻ xấu có đủ thời gian và kiên nhẫn.

Ormandy đã phối hợp cùng AVG giải quyết các lỗi trên tiện ích, đồng thời tạo lập mã khai thác đánh cắp cookie từ avg.com.

Ormandy cho biết tiện ích này vẫn cho phép tin tặc tấn công man-in-the-middle (MitM) để chèn JavaScript vào nguồn “bất kỳ”, thậm chí là nguồn an toàn (trang HTTPS), do vậy sử dung bảo vệ bằng SSL với những ai sử dụng tiện ích này là vô nghĩa. Hơn thế nữa, nhà nghiên cứu cũng giải thích bất kỳ XSS trên avg.com đều có thể được sử dụng để tấn công người dùng Chrome.

Tiện ích AVG Web TuneUp Chrome phiên bản 4.2.5.169 xử lý được lỗi này. Tuy nhiên, Google đã vô hiệu hóa cài đặt trực tiếp cho tiện ích này. Người dùng cần truy nhập vào kho và tải phiên bản đã cập nhật một cách thủ công. Đồng thời, Google cũng đang tìm hiểu về những xung đột về mặt chính sách của hãng.

Tháng 11/2015, hãng enSilo cũng đã tiết lộ lỗ hổng ở mức nghiêm trọng được tìm thấy trong AVG Internet Security 2015, có thể bị khai thác bởi tin tặc nhằm qua mặt các cơ chế bảo vệ Windows.

‹ › ×

Tin liên quan

Nhiều ứng dụng lộ hành vi thu thập dữ liệu người dùng trên iOS 14

14:00 | 03/07/2020

Bên cạnh 53 ứng dụng bị cho là thu thập dữ liệu người dùng, iOS 14 cũng chỉ ra ứng dụng nhắn tin Zalo âm thầm đọc bộ nhớ tạm thời của người dùng.

Tin cùng chuyên mục

Tin tặc lợi dụng khai thác MultiLogin của Google để chiếm quyền điều khiển phiên người dùng

10:00 | 31/01/2024

Các nhà nghiên cứu tại công ty an ninh mạng CloudSEK (Ấn Độ) cho biết: tin tặc đang phân phối phần mềm đánh cắp thông tin bằng cách lợi dụng điểm cuối Google OAuth có tên MultiLogin để chiếm quyền điều khiển phiên của người dùng và cho phép truy cập liên tục vào các dịch vụ của Google ngay cả sau khi đặt lại mật khẩu.

Phân tích chiến dịch gián điệp mạng Sea Turtle của tin tặc Thổ Nhĩ Kỳ

13:00 | 23/01/2024

Các nhà cung cấp dịch vụ viễn thông, truyền thông, Internet (ISP), nhà cung cấp dịch vụ công nghệ thông tin và các trang web của người Kurd ở Hà Lan đã trở thành mục tiêu của một chiến dịch gián điệp mạng mới do nhóm tin tặc có tên gọi là Sea Turtle thực hiện. Nhóm này hoạt động với động cơ chính trị nhằm thu thập thông tin tình báo phù hợp với những lợi ích của Thổ Nhĩ Kỳ. Bài viết này sẽ cùng phân tích về các hoạt động của nhóm tin tặc này và các kỹ thuật trong chiến dịch mới nhất, dựa trên báo cáo điều tra của công ty an ninh mạng Hunt&Hackett (Hà Lan).

Phát hiện kỹ thuật khai thác mới cho phép kẻ tấn công vượt qua các biện pháp bảo mật

07:00 | 18/01/2024

Một kỹ thuật khai thác mới có tên là SMTP Smuggling có thể được tin tặc sử dụng để gửi email giả mạo có địa chỉ người gửi giả và vượt qua các biện pháp bảo mật.

Cảnh báo chiến dịch tấn công nhắm vào các thiết bị USB an toàn

17:00 | 21/12/2023

Mới đây, nhóm Nghiên cứu và Phân tích Toàn cầu của Kaspersky phát hiện một chiến dịch gián điệp mạng đang nhắm mục tiêu đánh cắp dữ liệu lưu trữ trên các thiết bị USB an toàn sử dụng trong các cơ quan, tổ chức chính phủ các nước Châu Á - Thái Bình dương (APAC).