PALO ALTO, Калифорния, АКШ, 30-декабрь, 2024-жыл/CyberNewsWire/--SquareX, тармактагы биринчи Браузерди аныктоо жана жооп берүү (BDR) чечими, браузердин коопсуздугун камсыз кылууда алдыңкы орунда турат. Болжол менен бир жума мурун, SquareX Chrome кеңейтүүсүн иштеп чыгуучуларга багытталган масштабдуу чабуулдар Chrome дүкөнүнөн Chrome кеңейтүүсүн басып алууга багытталган. билдирди 2024-жылдын 25-декабрында Chrome дүкөнүндө Cyberhaven браузеринин кеңейтилишинин зыяндуу версиясы жарыяланган, ал чабуулчуга аутентификацияланган сеанстарды басып алууга жана купуя маалыматты эксфильтрациялоого мүмкүндүк берген. The Cyberhaven тарабынан өчүрүлгөнгө чейин 30 сааттан ашык жүктөө үчүн жеткиликтүү болгон. Маалыматтын жоголушун алдын алуу боюнча компания басма сөзгө кайрылганда, анын таасири тууралуу комментарий берүүдөн баш тартты, бирок кеңейтүүнүн 400,000ден ашуун колдонуучулары бар. кол салуу учурунда. зыяндуу кеңейтүү Chrome дүкөнү Тилекке каршы, чабуул SquareXтин изилдөөчүлөрүндөй болуп өттү менен окшош кол салуу а Cyberhaven бузуудан бир жума мурун бүт чабуул жолун көрсөтүү. аныкталган видео Чабуул Chrome Дүкөнүнүн атын жамынган фишинг электрондук каты менен башталат, анда платформанын “Иштеп чыгуучу келишимин” болжолдуу түрдө бузуп, алуучудан кеңейтүүнү Chrome Дүкөнүнөн алып салууга жол бербөө үчүн саясаттарды кабыл алууга үндөгөн. Саясат баскычын басканда колдонуучуга Google аккаунтун "Купуялык саясатынын кеңейтилишине" туташтыруу сунушталат, ал чабуулчуга иштеп чыгуучунун аккаунтундагы кеңейтүүлөрдү түзөтүүгө, жаңыртууга жана жарыялоого мүмкүнчүлүк берет. Fig 1. Кеңейтүүнү иштеп чыгуучуларга багытталган фишинг электрондук почтасы 2-сүрөт. Иштеп чыгуучунун кеңейтүүсүн “түзөтүүгө, жаңыртууга же жарыялоого” уруксат сураган жасалма Купуялык саясатынын кеңейтүүсү Кеңейтүүлөр чабуулчулар үчүн баштапкы кирүү мүмкүнчүлүгүн алуунун барган сайын популярдуу жолу болуп калды. Себеби, көпчүлүк уюмдардын кызматкерлери кандай браузер кеңейтүүлөрүн колдонуп жатканы боюнча чектелген мүмкүнчүлүктөрү бар. Атүгүл эң катаал коопсуздук топтору, адатта, кеңейтүү ак тизмеге киргизилгенден кийин кийинки жаңыртууларга көз салышпайт. SquareX кеңири изилдөө жүргүзүп, көрсөткөн MV3 ылайыктуу кеңейтүүлөр видео агымынын каналдарын уурдоо, үнсүз GitHub кызматташтыгын кошуу жана сеанс кукилерин уурдоо үчүн кантип колдонсо болот, жана башкалар. DEFCON 32, Чабуулчулар зыянсыздай көрүнгөн кеңейтүүнү түзүп, кийинчерээк аны орнотулгандан кийин зыяндуу кеңейтүүгө айландырышы мүмкүн же жогорудагы чабуулда көрсөтүлгөндөй, жүз миңдеген колдонуучулары бар кеңейтүүгө мүмкүнчүлүк алуу үчүн ишенимдүү кеңейтүүнүн артында иштеп чыгуучуларды алдап коюшу мүмкүн. Cyberhaven учурда чабуулчулар кеңейтүүнүн зыяндуу версиясы аркылуу бир нече веб-сайттар жана веб-тиркемелер аркылуу компаниянын эсептик дайындарын уурдай алышкан. Иштеп чыгуучунун электрондук почталары Chrome дүкөнүндө ачык тизмеленгенин эске алсак, чабуулчулар бир эле убакта миңдеген кеңейтүү иштеп чыгуучуларын бутага алуу оңой. Бул электрондук почталар, адатта, мүчүлүштүктөрдү кабарлоо үчүн колдонулат. Ошентип, атүгүл чоңураак компаниялардын кеңейтүүлөрү үчүн тизмеленген колдоо электрондук почталары, адатта, мындай чабуулдан шектенүү үчүн талап кылынган коопсуздукту билүү деңгээлине ээ эмес иштеп чыгуучуларга багытталат. SquareX чабуулунун ачылышына жана эки жумага жетпеген убакыттын ичинде болгон Cyberhaven бузуусуна ылайык, компаниянын көптөгөн башка браузерлердин кеңейтүү провайдерлерине да ушундай эле чабуул жасалып жатат деп ишенүүгө күчтүү негизи бар. SquareX компанияларды жана жеке адамдарды браузердин кеңейтүүлөрүн орнотуудан же жаңыртуудан мурун кылдат текшерүүгө чакырат. Fig 3. Кеңейтүүнү иштеп чыгуучулардын байланыш маалыматтары Chrome дүкөнүндө жалпыга жеткиликтүү SquareX командасы бардык атаандаш коопсуздук артыкчылыктарынын арасында, айрыкча нөл күндүк чабуулдарга келгенде жумушчу күчүндөгү ар бир браузер кеңейтүүсүн баалоо жана көзөмөлдөө анча маанилүү эмес экенин түшүнөт. де керсетулгендей , Cyberhavenдин бузулушуна катышкан жасалма купуялык саясаты колдонмосу эч кандай популярдуу коркунуч ленталары тарабынан аныкталган эмес. видео коопсуздук топторунан бул татаалдыкты төмөндөтөт: SquareXтин Браузерди аныктоо жана жооп берүү (BDR) чечими Кызматкерлерге кокусунан Chrome Store аккаунтуңузга уруксатсыз кирүү мүмкүнчүлүгүн бербөө үчүн OAuth'тун уруксаты жок веб-сайттар менен иштешүүсүн бөгөттөө Жаңы, кооптуу уруксаттарды камтыган ар кандай шектүү кеңейтүү жаңыртууларын бөгөттөө жана/же белгилөө Терс сын-пикирлердин көбөйүшү менен шектүү кеңейтүүлөрдү бөгөттөө жана/же белгилөө Капталдан жүктөлгөн кеңейтүүлөрдүн орнотууларын бөгөттөө жана/же белгилөө Компаниянын саясатынын негизинде тез бекитүү үчүн уруксат берилген тизмеден тышкаркы кеңейтүү орнотууларына болгон бардык сурамдарды жөнөкөйлөштүрүү Уюмдун кызматкерлери тарабынан орнотулган жана колдонулган бардык кеңейтүүлөрдө толук көрүнүш SquareX негиздөөчүсү эскертет: "Ошол OAuth чабуулуна окшош серепчи кеңейтүүлөрүнө багытталган идентификациялык чабуулдар көбүрөөк жайылат, анткени кызматкерлер жумушта жемиштүү болуу үчүн көбүрөөк браузерге негизделген куралдарга таянышат. Бул чабуулдардын окшош варианттары мурун Google Drive жана One Drive сыяктуу колдонмолордон булуттагы маалыматтарды уурдоо үчүн колдонулган жана биз чабуулчулар серепчи кеңейтүүлөрүн колдонууда креативдүүлүктү гана көрөбүз. Компаниялар сергек болуп, кызматкерлердин өндүрүмдүүлүгүнө тоскоол болбостон, алардын жеткирүү чынжырынын тобокелдигин азайтуулары керек, аларды туура браузердин түпкү шаймандары менен жабдышат. Вивек Рамачандран SquareX жөнүндө: уюмдарга реалдуу убакытта алардын колдонуучуларына каршы болуп жаткан кардар тараптын веб чабуулдарын аныктоого, басаңдатууга жана коркутууга жардам берет. SquareX SquareXтин тармактагы биринчи Браузерди аныктоо жана жооп кайтаруу (BDR) чечими браузердин коопсуздугуна чабуулга багытталган мамилени колдонот, бул ишкана колдонуучуларын зыяндуу QR коддору, Браузердеги браузер фишинг, макро негизиндеги кесепеттүү программа сыяктуу өркүндөтүлгөн коркунучтардан коргойт. жана зыяндуу файлдарды, веб-сайттарды, скрипттерди жана бузулган тармактарды камтыган башка веб-чабуулдар. SquareX менен ишканалар подрядчыларга жана алыскы жумушчуларга ички тиркемелерге жана ишкананын SaaS коопсуздугун камсыздай алат жана BYOD / башкарылбаган түзмөктөрдө браузерлерди ишенимдүү серептөө сессияларына айландыра алат. Байланыш PR жетекчиси Джунис Лью SquareX junice@sqrx.com Бул окуя Cybernewswire тарабынан HackerNoon компаниясынын Бизнес блогдошуу программасынын алкагында чыгарылган. Программа тууралуу көбүрөөк билүү бул жерде
