Как проверить на безопасность расширения браузера в организации

[KL FC Bot]

Вредоносные расширения браузера остаются существенной слепой зоной для ИБ-отделов многих организаций. Они уверенно вошли в арсенал киберпреступников: применяются для кражи сессий и учетных записей, шпионажа, маскировки других преступных активностей, мошенничества с рекламой, похищения криптовалюты. Громкие инциденты с вредоносными расширениями тоже нередки: от компрометации ИБ-расширения Cyberhaven до массовой публикации расширений, выполняющих функции инфостилера.

Злоумышленнику расширения удобны тем, что они получают в браузере разрешения и широкий доступ к информации SaaS-приложений и сайтов, не являясь при этом самостоятельными приложениями, что позволяет им обходить типовые политики и инструменты ИБ-контроля.

Служба ИБ в компании должна бороться с проблемой систематически. Чтобы управлять в организации браузерными расширениями, нужно комбинировать инструменты управления политикой со специализированными сервисами или инструментами анализа расширений. Именно этому был посвящен доклад Афанасиоса Гиатсоса (Athanasios Giatsos) на Security Analyst Summit 2025.

Угрожающие возможности веб-расширений и новшества Manifest V3

Веб-расширение в браузере имеет полный доступ к информации веб-страниц, что позволяет атакующим считывать и изменять любые данные, доступные пользователю через веб-приложение, в том числе финансовые и медицинские. Расширения часто получают доступ и к важным «невидимым» данным: cookie, локальному хранилищу данных (localStorage), настройкам прокси-сервера. Это упрощает похищение сессий. Иногда возможности расширений выходят далеко за пределы веб-страниц: они могут иметь доступ к геолокации, загрузкам браузера, захвату изображения с рабочего стола, содержимому буфера обмена, оповещениям браузера.

В наиболее популярной до недавнего времени архитектуре расширений Manifest V2, работавшей в Chrome, Edge, Opera, Vivaldi, Firefox и Safari, расширения трудноотличимы по возможностям от полноценных приложений. Они могут постоянно выполнять в фоновом режиме скрипты и держать открытыми невидимые веб-страницы, загружать и выполнять скрипты с сайтов в Интернете, обращаться к произвольным сайтам за информацией или отправлять ее. Чтобы сократить возможные злоупотребления (а заодно ограничить блокировщики рекламы), Google перевела Chromium и Chrome на Manifest V3, в котором многие функции были переработаны или заблокированы. Теперь расширения обязаны декларировать все сайты, к которым обращаются, не могут выполнять сторонний код, динамически загружаемый с сайта, а вместо фоновых скриптов должны пользоваться короткоживущими «микросервисами». Хотя некоторые виды атак в новой архитектуре проводить сложнее, злоумышленники вполне могут переписать вредоносный код, сохранив большую часть необходимых функций, но потеряв в скрытности. Потому использование в организации только браузеров и расширений, работающих исключительно с Manifest V3, упрощает мониторинг, но не является панацеей.

Также V3 никак не затрагивает ключевую проблему расширений: они как правило загружаются из официальных магазинов приложений с легитимных доменов Google, Microsoft или Mozilla, их активность выглядит, как инициированная самим браузером, и отличить действия, выполненные расширением, от сделанного пользователем вручную довольно сложно.

 

View the full article

[Аполинарий]

Хороший разбор, спасибо. Особенно про то, как V3 усложнил скрытность, но не убрал саму проблему доверия к расширениям из официальных магазинов.😬