AVG brengt miljoenen Chrome-gebruikers in gevaar
- Categorie: Veiligheid
Beveiligingsbedrijf AVG, bekend om zijn gratis en commerciële beveiligingsproducten die een breed scala aan beveiligingsgerelateerde beveiligingen en services bieden, heeft onlangs miljoenen Chrome-gebruikers in gevaar gebracht door de beveiliging van Chrome op een fundamentele manier te doorbreken in een van de extensies voor het web browser.
AVG gebruikt, net als veel andere beveiligingsbedrijven die gratis producten aanbieden, verschillende strategieën voor het genereren van inkomsten om inkomsten te genereren met het gratis aanbod.
Een deel van de vergelijking is dat klanten upgraden naar betaalde versies van AVG en dat was een tijdje de enige manier waarop het werkte voor bedrijven als AVG.
De gratis versie werkt prima op zichzelf, maar wordt gebruikt om reclame te maken voor de betaalde versie die geavanceerde functies biedt, zoals antispam of een verbeterde firewall.
Beveiligingsbedrijven begonnen andere inkomstenstromen toe te voegen aan hun gratis aanbod, en een van de meest prominente in de afgelopen tijd betrof het maken van browserextensies en de manipulatie van de standaardzoekmachine, de startpagina en de nieuwe tabbladpagina van de browser die daarbij horen .
Klanten die AVG-software op hun pc installeren, krijgen uiteindelijk een prompt om hun browser te beschermen. Een klik op ok in de interface wordt geïnstalleerd AVG Web TuneUp in compatibele browsers met minimale gebruikersinteractie.
De extensie heeft volgens de Chrome Web Store meer dan 8 miljoen gebruikers (volgens Google's eigen statistieken bijna negen miljoen).
Hierdoor worden de startpagina, de nieuwe tabbladpagina en de standaardzoekmachine in de Chrome- en Firefox-webbrowser gewijzigd als deze op het systeem zijn geïnstalleerd.
De extensie die wordt geïnstalleerd vraagt om acht machtigingen, waaronder de toestemming om 'alle gegevens op alle websites te lezen en te wijzigen', 'downloads te beheren', 'te communiceren met samenwerkende native applicaties', 'apps, extensies en thema's te beheren' en de startpagina te wijzigen, zoekinstellingen en startpagina naar een aangepaste AVG-zoekpagina.
Chrome merkt de wijzigingen op en vraagt gebruikers die aanbieden instellingen te herstellen naar hun vorige waarden als de wijzigingen die door de extensie zijn aangebracht niet de bedoeling waren.
Er zijn nogal wat problemen bij het installeren van de extensie, bijvoorbeeld dat het de opstartinstelling verandert om 'een specifieke pagina te openen' en de keuze van de gebruiker negeert (bijvoorbeeld om door te gaan met de laatste sessie).
Als dat niet erg genoeg is, is het vrij moeilijk om gewijzigde instellingen te wijzigen zonder de extensie uit te schakelen. Als u de Chrome-instellingen controleert na installatie en activering van AVG Web TuneUp, zult u merken dat u de startpagina, startparameters of zoekmachines niet meer kunt wijzigen.
De belangrijkste reden waarom deze wijzigingen worden aangebracht, is geld, niet gebruikersbeveiliging. AVG verdient wanneer gebruikers zoekopdrachten uitvoeren en op advertenties klikken in de aangepaste zoekmachine die ze hebben gemaakt.
Als je toevoegt Hierop dat het bedrijf onlangs in een update van het privacybeleid aankondigde dat het - niet-identificeerbare - gebruikersgegevens aan derden zal verzamelen en verkopen, krijg je op zichzelf een eng product.
Beveiligingsprobleem
Een Google-medewerker gearchiveerd een bugrapport op 15 december waarin stond dat AVG Web TuneUp webbeveiliging uitschakelde voor negen miljoen Chrome-gebruikers. In een brief aan AVG schreef hij:
Excuses voor mijn harde toon, maar ik ben echt niet blij dat deze prullenbak wordt geïnstalleerd voor Chrome-gebruikers. De extensie is zo erg kapot dat ik niet zeker weet of ik het aan u moet rapporteren als een kwetsbaarheid, of het misbruikteam van de extensie moet vragen om te onderzoeken of het een PuP is.
Desalniettemin is het mijn zorg dat uw beveiligingssoftware de webbeveiliging voor 9 miljoen Chrome-gebruikers uitschakelt, zodat u de zoekinstellingen en de nieuwe tabbladpagina kunt kapen.
Er zijn meerdere voor de hand liggende aanvallen mogelijk, hier is bijvoorbeeld een triviale universele xss in de 'navigatie'-API waarmee elke website script kan uitvoeren in de context van een ander domein. Attacker.com kan bijvoorbeeld e-mail lezen van mail.google.com, of corp.avg.com, of wat dan ook.
In wezen brengt AVG Chrome-gebruikers in gevaar door middel van de extensie, die het browsen op internet veiliger zou moeten maken voor Chrome-gebruikers.
AVG reageerde enkele dagen later met een oplossing, maar deze werd afgewezen omdat het probleem niet volledig was opgelost. Het bedrijf probeerde de blootstelling te beperken door alleen verzoeken te accepteren als de oorsprong overeenkomt met avg.com.
Het probleem met de oplossing was dat AVG alleen verifieerde of avg.com was opgenomen in de oorsprong die aanvallers konden misbruiken door subdomeinen te gebruiken die de tekenreeks bevatten, bijv. avg.com.www.example.com.
De reactie van Google maakte duidelijk dat er meer op het spel stond.
Uw voorgestelde code vereist geen veilige oorsprong, dat betekent dat het http: // of https: // protocollen toestaat bij het controleren van de hostnaam. Hierdoor kan een netwerkman in het midden een gebruiker omleiden naar http://attack.avg.com, en javascript leveren dat een tabblad opent naar een veilige https-oorsprong, en er dan code in injecteren. Dit betekent dat een man in het midden beveiligde https-sites zoals Gmail, Banking, enzovoort kan aanvallen.
Voor alle duidelijkheid: dit betekent dat bij AVG-gebruikers SSL is uitgeschakeld.
De tweede updatepoging van AVG op 21 december werd door Google geaccepteerd, maar Google heeft inline installaties voorlopig uitgeschakeld omdat mogelijke beleidsschendingen werden onderzocht.
Afsluitende woorden
AVG bracht miljoenen Chrome-gebruikers in gevaar en kon de eerste keer geen goede patch leveren, waardoor het probleem niet werd opgelost. Dat is nogal problematisch voor een bedrijf dat gebruikers probeert te beschermen tegen bedreigingen op internet en lokaal.
Het zou interessant zijn om te zien hoe voordelig al die beveiligingssoftware-extensies zijn die naast antivirussoftware worden geïnstalleerd, of niet. Het zou me niet verbazen als er resultaten zouden komen dat ze meer schade aanrichten dan gebruikers te gebruiken.
Nu jij : Welke antivirusoplossing gebruikt u?