HackNotice — расширение Chrome, которое предупредит вас при входе на взломанный сайт

Chrome предупредит вас о попытке кражи вашего пароля

Google сегодня выпускает версию Chrome 79, которая включает ряд улучшений защиты паролей. Самое большое дополнение в том, что Chrome теперь будет предупреждать вас, когда ваш пароль будет украден как часть утечки данных. Google предупреждает о повторном использовании паролей в отдельном расширении браузера или в своем инструменте проверки паролей, но теперь компания внедряет это непосредственно в Chrome, чтобы получать предупреждения при входе на сайты в Интернете.

Вы можете управлять этой новой функцией в настройках синхронизации в Chrome, и Google использует сильно хешированные и зашифрованные копии паролей, чтобы сопоставить их с использованием нескольких уровней шифрования. Это позволяет Google надежно сопоставлять пароли, используя технику, называемую частным пересечением множеств с «ослеплением».

Ага, браузер, который пиздит любую статистику, до которой только может добраться, предупредит о краже пароля. А гопники в Бирюлево предупредят в каком банкомате лучше снимать наличку.

И что изменилось? Можно понашенски?

Выпущенное почти год назад расширение стало частью основной ветки хрома.
Про расширение https://russia.googleblog.com/2019/02/blog-post_5.html

Google избавит Chrome и Youtube от назойливой рекламы

Компания Google представила новые правила для видеорекламы в браузере Chrome, которые позволят избавиться от наиболее раздражающих пользователей видов рекламы.

Новые правила основаны на данных, полученных от международной организации Coalition for Better Ads (Коалиция за лучшую рекламу), в которую входит и сама Google.

По словам Google, у владельцев сайтов есть четыре месяца на то, чтобы приспособиться к новым правилам и перестать показывать назойливую рекламу.

Coalition for Better Ads провела исследование среди 45 тысяч пользователей по всему миру. Опрос показал, что большинство пользователей находят особенно раздражающей рекламу, которая заставляет ждать начала дольше 5 секунд, ролики, вставляемые в середину видео, а также изображения или текст, которые появляется на поверх видео и закрывают больше 20% видеоконтента.

С 5 августа 2020 года Chrome начнёт полностью блокировать рекламу в таком формате. Как подчеркнула Google, фирменному видеосервису YouTube тоже придётся выполнять новые правила.

В Chrome началось тестирование третьей редакции манифеста, несовместимой с uBlock Origin

Компания Google начала тестирование третьей редакции манифеста Chrome, нарушающей работу многих дополнений для блокирования нежелательного контента и обеспечения безопасности. Поддержка нового манифеста, который определяет возможности и ресурсы, предоставляемые дополнениям, добавлена в экспериментальные сборки Chrome Canary. Новый манифест разработан в рамках инициативы по усилению безопасности, конфиденциальности и производительности дополнений (основной целью является упрощение создания безопасных и высокопроизводительных дополнений, и усложнение возможности создания небезопасных и медленных дополнений).

Манифест пока находится на стадии раннего альфа-тестирования, не является окончательным и добавлен, чтобы дать разработчикам возможность начать экспериментировать и адаптировать свои дополнения. Активация нового манифеста ожидается в следующем году. Время прекращения поддержки второй редакции манифеста пока не определено. Для упрощения миграции дополнений на новый манифест подготовлен проверочный список, включающий изменения, на которые следует обратить внимание разработчикам дополнений.

Напомним, что основное недовольство новым манифестом связано с прекращением поддержки блокирующего режима работы API webRequest, который будет ограничен режимом только для чтения. Исключение будет сделано лишь для редакции Chrome для предприятий (Chrome for Enterprise), в которых поддержка API webRequest будет сохранена. Компания Mozilla решила не следовать за новым манифестом и сохранить в Firefox возможность полного использования API webRequest.

Вместо API webRequest для фильтрации контента в новом манифесте предложен декларативный API declarativeNetRequest. Если API webRequest позволял подключать собственные обработчики, имеющие полный доступ к сетевым запросам и способные на лету модифицировать трафик, новый API declarativeNetRequest предоставляет доступ к готовому универсальному встроенному движку для фильтрации, самостоятельно обрабатывающему правила блокировки, не разрешающему использовать собственные алгоритмы фильтрации и не позволяющему задавать сложные правила, перекрывающие друг друга в зависимости от условий.

В новом манифесте также представлены и другие изменения, влияющие на совместимость с дополнениями. Среди них:

Переход к выполнению Service workers в форме фоновых процессов, что потребует от разработчиков изменения кода некоторых дополнений.

Новая гранулированная модель запроса полномочий – дополнение не сможет активироваться сразу для всех страниц (убрано полномочие “all_urls”), а будет работать только в контексте активной вкладки, т.е. пользователю потребуется подтверждать работу дополнения для каждого сайта.

Изменение обработки Cross-origin запросов – в соответствии с новым манифестом на скрипты обработки контента будут распространяться те же ограничения полномочий, что и для основной страницы, в которую эти скрипты внедряются (например, если страница не имеет доступа к API определению местоположения, то и скрипт дополнения также не получит этот доступ).

Запрет выполнения кода, загруженного с внешних серверов (речь про ситуации, когда дополнение подгружает и выполняет внешний код).

Chrome 79: предупреждения об утечки паролей и защита от фишинга в режиме реального времени

10 декабря компания Google выпустила новую версию браузера Chrome 79 для платформ Windows, Mac, Linux, Android и iOS. Релиз примечателен повышением уровня безопасности и созданием основы для распространения технологий виртуальной реальности в сети. Перейти на новую версию Chrome можно с помощью встроенного средства обновления или загрузив установочный файл на нашем сайте.

Аудитория Google Chrome насчитывает более 1 миллиарда пользователей по всему миру, поэтому это основная платформа для веб-разработчиков. Разработчикам нужно постоянно отслеживать новые функции и изменения, а также неподдерживаемые и удаленные функции. Например, в Chrome 79 убрана поддержка свойства -webkit-appearance для произвольных элементов.

Password Checkup

В феврале компания Google выпустила расширение под названием Password Checkup. Оно уведомляет пользователей о том, что их учетные данные от какого-либо сайта фигурировали в инцидентах со взломом или утечкой данных. Логины и пароли проверяются в базе данных из 4 миллионов известных взломанных учетных данных. В октябре Google представила инструмент Проверка паролей для аккаунтов Google. Теперь данный функционал встроен непосредственно в Chrome, что делает расширение неактуальным.

Теперь, при входе в свою учетную запись на сайте, Chrome будет отправлять хешированную по SHA256 копию учетных данных в Google. Данные будут зашифрованы с использованием секретного ключа (даже Google не сможет просматривать ваши логины и пароли). Google будет использовать несколько уровней шифрования с помощью техники Private Set Intersection (PSI) для сравнения вашего логина и пароля со взломанными учетными данными, которые в свою очередь хранятся в зашифрованном виде. Если пароль или логин были украдены, то Chrome предложит изменить пароль.

Читать еще: Windows 10: обзор новшеств январской технической сборки » Как установить Windows 10

Включить или отключить данную функцию можно в настройках Chrome в разделе Синхронизация сервисов Google > Другие сервисы Google ( chrome://settings/syncSetup ) с помощью переключателя Сообщать, если пароли были раскрыты в результате утечки данных. Системные администраторы могут управлять данной функцией с помощью отдельной политики PasswordLeakDetectionEnabled.

Защита от фишинга в режиме реального времени

Сервис Google Safe Browsing поставляет списки URL-адресов с вредоносным контентом и фишингом для браузеров Chrome. Firefox и Safari, а также для Интернет-провайдеров. Служба показывает предупреждение, если пользователь собирается посетить опасный сайт или загрузить вредоносный файл. По состоянию на май 2019 года, технология Safe Browsing обеспечивала защиту более 4 миллиардов устройств. По аналогии с защитой паролей, Google не работает с URL-адресами напрямую. Технологический гигант проверяет цифровой отпечаток URL (первые 32 бита хешированного по SHA-256 URL-адреса) на наличие в базе данных Safe Browsing.

Данная технология не лишена недостатков. Chrome проверяет URL каждого посещаемого сайта и все загружаемые сайты с помощью локального списка, который обновляется примерно каждые 30 минут. Google признает, что некоторые фишинговые сайты пользуются данным временным окном для обхода защиты путем быстрого переключения доменов и маскировки от сканеров компании. Теперь Google представляет технологию защиты от фишинга в режиме реального времени, которая мгновенно проверяет наличие адреса страницы в базе Safe Browsing.

Теперь при посещении веб-сайта Chrome будет сравнивать его со списком тысяч популярных безопасных веб-ресурсов. Если сайт отсутствует в базе, то Google проведет дополнительную анонимную проверку, представляет ли опасность целевой сайт. Компания заявляет, что такой подход позволяет повысить эффективность обнаружение совершенно новых вредоносных сайтов на 30%.

Управлять данной функцией можно с помощью переключателя Помогать улучшить просмотр страниц и поиск в настройках Chrome в разделе Синхронизация сервисов Google > Другие сервисы Google ( chrome://settings/syncSetup ). Функция Безопасный просмотр при этом должна быть включена. Системные администраторы могут управлять данной функцией с помощью отдельной политики UrlKeyedAnonymizedDataCollectionEnabled.

Chrome также предлагает интеллектуальную защиту от фишинга, которая предупреждает пользователей, когда они вводят пароль на подозрительных фишинговых сайтах. Google расширил данную защиту для всех авторизованных пользователей и для всех учетных данных в диспетчере паролей. Раньше защита была доступна только тем пользователям, которые включили синхронизацию. Если вы попытаетесь ввести пароль на подозрительном сайте, Google выполнил анонимную проверку аналогичную анти-фишингу в режиме реального времени. Если Safe Browsing признает сайт вредоносным, то Chrome выведет оповещение и попросит изменить скомпрометированный пароль.

Tab Freeze – новая функция оптимизации потребления памяти в Chrome

Новая функция Tab Freeze сокращает потребления ОЗУ за счет «замораживания вкладок». По умолчанию она отключена, управлять «замораживанием вкладок» можно с помощью экспериментального флага chrome://flags/#proactive-tab-freeze .

Установите для параметра Tab Freeze одно из следующих значений:

Default
Enabled
Enabled Freeze — No Unfreeze
Enabled Freeze — Unfreeze 10 seconds every 15 minutes
Disabled

Чтобы включить функцию, выберите одну из опций с Enabled. В этом случае Chrome будет замораживать фоновые вкладки после 5 минут их бездействия. Вариант No Unfreeze позволяет сохранять выгруженное состояние вкладок постоянно, в то время как опция Unfreeze 10 seconds every 15 minutes предусматривает восстановление вкладок в течение 10 секунд каждые 15 минут.

Список приостановленных вкладок доступен на странице chrome://discards. Просто перейдите по этому адресу, чтобы посмотреть список вкладок, которые в данный момент находятся в выгруженном состоянии.

WebXR Device API

В новых версиях Chrome обычно добавляется поддержка новых API. Chrome 79 не стал исключением: представлен новый WebXR Device API, который позволяет использовать технологии виртуальной реальности в Интернете. В ближайшее время данный API будут поддерживать Firefox Reality, Oculus Browser, Edge и Helio от Magic Leap.

С помощью WebXR Device API разработчики получают новые расширенные возможности для работы со смартфонами и наголовными дисплеями в Chrome. В будущем Google планирует реализовать поддержку дополненной реальности и других инструментов с «эффектом присутствия». Компания даже обозначила несколько потенциальных вариантов использования: игры, просмотр недвижимости и просмотр товаров перед их покупкой.

Android и iOS

Chrome 79 для Android доступен в Google Play. Список изменений:

Безопасность паролей: Chrome предупреждает о компрометации паролей при входе в аккаунт на сайтах.
Поддержка виртуальной реальности: WebXR Device API позволяет работать с «эффектами присутствия» и технологиями виртуальной реальности в Интернете.
Сортировка закладок: изменяйте порядок закладок с помощью перетаскивания или используйте пункту меню Переместить вверх или Переместить вниз.

Chrome 79 для iOS доступен в App Store. В списке изменений всего два пункта:

Chrome предупреждает об утечках логинов и паролей при входе в аккаунт на сайтах.
При вводе поискового запроса в адресную строку, вы увидите самые популярные варианты, даже если подключение к Интернету очень медленное.

Улучшения безопасности

Chrome 79 получил 51 исправление безопасности. Более четырех десятков уязвимостей были обнаружены независимыми исследователями. Пользователям рекомендуется обновиться как можно скорее, чтобы избежать потенциальных атак и эксплойтов.

Google выпускает новые версии Chrome примерно каждые 6 недель. Релиз Chrome 80 намечен на начало февраля.

Топ-3 расширения для Google Chrome, которые уберегут вас от слежки

Тотальной безопасности не бывает, и с этим нужно уметь мириться. Ни одна операционная система или программа не обеспечит вам гарантированной защиты – что-нибудь обязательно «утечет», а затем будет использовано против вас. Тем не менее, это совершенно не означает, что следует, посыпав голову пеплом, наплевать на простейшие правила защиты своих данных в интернете. Представляем вашему внимание подборку лучших расширений для Google Chrome, которые если не спасут вас на 100%, то по крайней мере уберегут от совсем наглой слежки.

Особенность слежки в интернете состоит в том, что она даже не требует имени того, за кем следят. При необходимости его все равно идентифицируют – по повадкам, по поисковым запросам, по сайтам, на которые он заходит. Для этого существует масса различных инструментов, работу которых, тем не менее, можно заблокировать. Рассказываем, как.

Cookie AutoDelete

Почти каждый сайт собирает куки. Это небольшие объемы данных, которые позволяют сайтам определить, что на сайт вошли именно вы. Благодаря кукам интернет-магазины позволяют вам получить доступ к вещам, которые вы положили в корзину, даже если перед этим не прошли авторизацию. Но также куки могут оказаться неплохим способом слежки, который нужно обязательно пресекать. Расширение Cookie AutoDelete будет автоматически удалять куки там, где их сохранение нежелательно, и оставлять там, где вы лично позволите.

Читать еще: Как сделать jailbreak iOS 6.1

Privacy Badger

Это расширение было создано разработчиками правозащитной организации Electronic Frontier Foundation, цель которой состоит в том, чтобы добиться исполнения прав пользователей интернета и электронных устройств. Оно отслеживает всевозможные трекеры на веб-сайтах, которые отслеживают действия пользователей, и блокируют их. При необходимости можно вручную выбрать сайты и типы трекеров, которые можно блокировать, а которые нет.

Password Checkup

Несмотря на то что Password Checkup не защищает вас от слежки, это расширение поспособствует обеспечению защиты ваших учетных записей от взлома. Оно занимается тем, что сканирует пароли, которые вы вводите при регистрации на сайтах, выявляя степень их надежности. Расширение использует базу данных Have I Been Pwnd, состоящей из более чем 4 миллиардов взломанных паролей. А поскольку его разработкой занимались эксперты Open ID Foundation и Internet Engineering Task Force, ему вполне можно доверить свою безопасность.

А какими расширениями пользуетесь вы? Ответы оставляйте в комментариях или нашем Telegram-чате.

Несмотря на то что в целом я очень люблю продукцию Huawei и считаю эту компанию чрезвычайно перспективной, в последнее время мне стало казаться, что она просто не знает, в каком направлении ей двигаться. Я даже написал об этом статью, в которой сравнил Huawei с лосем, бегущим в панике по горящему лесу, и предположил, что её просто ведёт судьба. Не самое лестное сравнение, согласен, однако отсутствие знаковых решений со стороны компании подтолкнуло меня именно к такому выводу. И тем не менее, меня не оставляло чувство, что я мог ошибочно обвинить китайцев в отсутствии стратегии, хотя на самом деле она вполне может быть, даже если на первый взгляд это не очевидно.

Смартфоны Pixel, в отличие от сверхпопулярных Nexus, никогда не были массовыми аппаратами. Сказывалась не только высокая цена, но и ограниченная география продаж. По неизвестной причине Google отказалась торговать «пикселями» во многих странах мира и России в том числе, сделав ставку на крайне узкий список стран. Но то ли сложности с покупкой отпугнули потребителей, то ли ещё какие-то факторы, но каждое новое поколение смартфонов Google Pixel неизменно продавалось хуже предыдущего. Поэтому в какой-то момент даже стали ходить слухи, будто бы в компании обсуждают возможность отказа от дальнейшего развития линейки. К сожалению, даже Сундар Пичаи не смог поставить точку в этом вопросе.

Если вы думали, что теперь выставок больше не будет и коронавирус стал только поводом для их отмены в будущем, вы ошибались. Признаю, что я тоже допускал такой вариант, так как онлайн формат позволяет экономить деньги, а важных гостей можно пригласить и к себе в офис для обсуждения сотрудничества. Так-то оно так, вот только то, с каким рвением организаторы IFA стремятся провести свою выставку бытовой техники и потребительской электроники в этом году, заставляет задуматься об обратном. Если в двух словах, то суть новости, которой я хочу поделиться, в том, что IFA в этом году почти наверняка будет. Более развернуто о причинах такого поведения и тонкостях проведения мероприятия в условиях пандемии читайте в этой статье.

HackNotice — расширение Chrome, которое предупредит вас при входе на взломанный сайт

Облако тегов

Взлом расширений chrome

Понадобилось сделать скриншот содержимого браузера. Делать это через принтскрин не самый оптимальный выбор, учитывая сколько у Chrome(Chromium) расширений.
Было найдено отличное расширение Explain and Send Screenshots.

Оно минималистично, удобно, да ещё и может отправить скриншот на imgur или другой замечательный хосниг картинок, что является огромным плюсом.
Но есть у него один минус: расширение добавляет на картинку своё название и ссылку на страницу на которой мы делаем сриншот:

И если название ещё можно пережить, то ссылка обычно не нужна вообще. К тому же, если делаешь скриншот небольшого куска текста, то эти надписи мешают его читать.

Само приложение просит доната хотя бы в 1$. Не много, но проблема в том, что после удаления и повторной установки приложение снова просит донат, а это уже как-то обидно.

Рассмотрим способ взлома и получения всех функций на примере этого расширения:

1) Сначала, нужно найти где находится приложение:
В каталоге приложений ссылка выглядит как

https://chrome.google.com/webstore/detail/mdddabjhelpilpnpgondfmehhcplpiin/details

где mdddabjhelpilpnpgondfmehhcplpiin – уникальный id. Он-то нам и нужен.

Итого, приложение находится:

Linux:
/home/YourUserName/.config/chromium/Default/Extensions/mdddabjhelpilpnpgondfmehhcplpiin

Mac:
/Users/YourUserName/Library/Application Support/Google/Chrome/Default/Extensions/mdddabjhelpilpnpgondfmehhcplpiin

Windows 7:
C:UsersYourUserNameAppDataLocalGoogleChromeUser DataDefaultExtensionsmdddabjhelpilpnpgondfmehhcplpiin

Windows XP:
C:Documents and SettingsYourUserNameLocal SettingsApplication DataGoogleChromeUser DataDefaultmdddabjhelpilpnpgondfmehhcplpiin

В этой папке, обычно, есть подпапка с именем версии или чем-то подобным. В ней уже лежит само приложение, которое представляет из себя набор обычных jshtmlcss файлов.

Стоит туда зайти и в глаза тут же бросается файл с именем “donate.html”.

В нём находится вот такой таймер:

В котором видно код, который срабатывает при успешной оплате пейпалом:

Остаётся вставить его в любое понравившееся место, например чуть выше есть функция setPayPayInlineParam, которая срабатывает при клике на кнопку оплаты через пейпал. В самое её начало вставим наш код активации:

Остаётся сохранить файл, перезапустить браузер и нажать на эту самую кнопку в приложени. Вуаля, получаем сообщение об успешном донате и видим, что теперь можно отлючить добавление этих надписей:

Метод не универсальный, но общий алгоритм ясен: найти методы вызывающиеся при успешной оплате и вызвать их.
.
Напоминаю, что всё описанное выше применимо только после оплаты всех возможностей приложения, так как нужно поддерживать автора, но нет смысла отвлекать его от работы, если мы всего-лишь переустановили браузер и приложение “забыло” что было оплачено.
.

Статья добавлена в воскресенье, 29 января, 2012 в 20:21 и находится в разделе Уязвимости. Вы можете читать новые комментарии в RSS 2.0 ленте. You can skip to the end and leave a response. Pinging is currently not allowed.

3 комментария к “Взлом расширений chrome”

phpdreamer Пишет:
января 29, 2012 at 20:50

Круто, спасибо. Хром у меня запасной браузер, к платным аддонам не присматривался пока

HackNotice — расширение Chrome, которое предупредит вас при входе на взломанный сайт

Облако тегов

Взлом расширений chrome

Читать еще: Wi-Fi подключение без доступа к интернету — что делать?

Рассмотрим способ взлома и получения всех функций на примере этого расширения:

1) Сначала, нужно найти где находится приложение:
В каталоге приложений ссылка выглядит как

https://chrome.google.com/webstore/detail/mdddabjhelpilpnpgondfmehhcplpiin/details

где mdddabjhelpilpnpgondfmehhcplpiin – уникальный id. Он-то нам и нужен.

Итого, приложение находится:

Linux:
/home/YourUserName/.config/chromium/Default/Extensions/mdddabjhelpilpnpgondfmehhcplpiin

Mac:
/Users/YourUserName/Library/Application Support/Google/Chrome/Default/Extensions/mdddabjhelpilpnpgondfmehhcplpiin

Windows 7:
C:UsersYourUserNameAppDataLocalGoogleChromeUser DataDefaultExtensionsmdddabjhelpilpnpgondfmehhcplpiin

Windows XP:
C:Documents and SettingsYourUserNameLocal SettingsApplication DataGoogleChromeUser DataDefaultmdddabjhelpilpnpgondfmehhcplpiin

Стоит туда зайти и в глаза тут же бросается файл с именем “donate.html”.

В нём находится вот такой таймер:

В котором видно код, который срабатывает при успешной оплате пейпалом:

3 комментария к “Взлом расширений chrome”

phpdreamer Пишет:
января 29, 2012 at 20:50

Круто, спасибо. Хром у меня запасной браузер, к платным аддонам не присматривался пока

Хакерам будет сложнее взламывать расширения для Google Chrome

Магазин расширений Google Chrome полон полезных инструментов, которые добавляют в браузер такие возможности, о которых многие даже не задумывались. Например, расширение FacePause умеет останавливать YouTube-видео при отводе взгляда от экрана монитора. Являясь отличным способом расширить возможности браузера, расширения таят в себе большую опасность — хакеры могут взломать любой из них и использовать для кражи конфиденциальной информации пользователей. Google делает большие шаги к усилению защиты расширений.

В июне 2018 года компания запретила установку расширений извне магазина Chrome Web Store. Тогда сообщалось, что API для установки расширений из сторонних сайтов будет удален в версии Google Chrome 71. Данный шаг закрыл хакерам один из путей заражения чужих компьютеров, однако у них остались другие. Например, они могут замаскировать вредоносный код внутри «безопасного» расширения или загрузить вирус через взломанный аккаунт разработчика.

Новые правила Chrome Web Store

С октября 2018 года компания не будет пропускать в каталог Chrome Web Store расширения с запутанным исходным кодом, который также называется обфусцированным. Для справки, обфусцированный код — это алгоритм с преднамеренно сложным строением строк, под которым можно замаскировать вредоносные команды. Новое правило Google касается как кода самого расширения, так и кода загруженного из сторонних серверов.

С 2019 года компания также заставит разработчиков расширений включить двухфакторную аутентификацию. Это значительно усложнит взлом аккаунтов разработчиков, через которые безопасные расширения можно заменить вредоносными копиями. Компания уверена, что добросовестные разработчики не будут против нововведения, так как сами заинтересованы в защите аккаунтов.

Сталкивались ли вы с вредоносными расширениями для Google Chrome? Свои истории можно рассказать в комментариях или нашем Telegram-чате.

0 0 голоса

Рейтинг статьи