Votre extension de navigateur est-elle une porte dérobée Botnet ?

Une entreprise qui loue l’accès à plus de 10 millions de navigateurs Web afin que les clients puissent masquer leur véritable adresse Internet a construit son réseau en payant les fabricants d’extensions de navigateur pour qu’ils incluent discrètement son code dans leurs créations. Cette histoire examine les aspects économiques déséquilibrés du développement de l’extension et pourquoi l’installation d’une extension peut être une proposition si risquée.

Basé à Singapour Infatica[.]io fait partie d’une industrie croissante d’entreprises de l’ombre qui tentent de séduire les développeurs qui maintiennent des extensions de navigateur populaires – des modules complémentaires logiciels pour ordinateurs de bureau et appareils mobiles disponibles en téléchargement sur Pomme, Google, Microsoft et MozillaComment conçu pour ajouter des fonctionnalités ou une personnalisation à son expérience de navigation.

Certaines de ces extensions ont attiré des centaines de milliers, voire des millions d’utilisateurs. Mais voici le hic : à mesure que la base d’utilisateurs d’une extension augmente, sa maintenance avec des mises à jour logicielles et la réponse aux demandes d’assistance des utilisateurs ont tendance à prendre une quantité excessive de temps à l’auteur. Pourtant, les auteurs de vulgarisation ont peu d’options pour gagner une compensation financière pour leur travail.

Ainsi, lorsqu’une entreprise se présente et propose d’acheter l’extension – ou de payer l’auteur pour inclure silencieusement du code supplémentaire – cette proposition est souvent trop belle pour être ignorée.

De son côté, Infatica recherche des auteurs avec des extensions qui comptent au moins 50 000 utilisateurs. Un fabricant d’extensions qui accepte d’incorporer le code informatique d’Infatica peut gagner entre 15 et 45 dollars par mois pour 1 000 utilisateurs actifs.

Le code d’Infatica utilise ensuite le navigateur de toute personne sur laquelle cette extension est installée pour acheminer le trafic Web pour les clients de l’entreprise, y compris les spécialistes du marketing ou toute personne en mesure de payer ses frais d’abonnement mensuels élevés.

Le résultat final est que lorsque les clients d’Infatica naviguent sur un site Web, ce site pense que le trafic provient de l’adresse Internet liée à l’utilisateur de l’extension, et non de celle du client.

Infatica tarifie son service en fonction du volume de trafic Web qu’un client cherche à anonymiser, de 360 ​​$ par mois pour 40 gigaoctets jusqu’à 20 000 $ par mois pour 10 000 gigaoctets de trafic de données transmis par des millions d’ordinateurs résidentiels.

L’ÉCONOMIE DES EXTENSIONS

Hao Nguyên est le développeur derrière ModHeader, une extension utilisée par plus de 400 000 personnes pour tester la fonctionnalité des sites Web en permettant aux utilisateurs de modifier plus facilement les données partagées avec ces sites. Lorsque Nguyen s’est retrouvé à consacrer de plus en plus de temps et d’argent à l’extension, il a essayé d’inclure des publicités dans le programme pour aider à compenser les coûts.

Les utilisateurs de ModHeader ont protesté bruyamment contre le changement, et Nguyen a supprimé les publicités – qui, selon lui, ne lui rapportaient pas beaucoup d’argent de toute façon.

« J’avais passé au moins 10 ans à construire cette chose et je n’avais aucune chance de la monétiser », il a dit à BreachTrace.

Nguyen a déclaré qu’il avait ignoré plusieurs demandes de différentes entreprises proposant de le payer pour insérer leur code, principalement parce que le code donnait à ces entreprises la possibilité d’injecter ce qu’elles voulaient dans son programme (et sur les appareils de ses utilisateurs) à tout moment.

Puis vint Infatica, dont le code était assez simple en comparaison, a-t-il déclaré. Il a limité l’entreprise à acheminer les demandes Web via les navigateurs de ses utilisateurs et n’a pas essayé d’accéder à des composants plus sensibles de l’expérience de navigation de l’utilisateur, tels que les mots de passe et les cookies stockés, ou de visualiser l’écran de l’utilisateur.

Plus important encore, l’accord lui rapporterait au moins 1 500 $ par mois, et peut-être un peu plus.

« J’ai essayé Infatica mais en quelques jours j’ai eu beaucoup d’avis d’utilisateurs négatifs, » il a dit. « Ils n’aimaient pas que l’extension utilise leur navigateur comme proxy pour se rendre dans des endroits moins bons comme les sites pornographiques. »

Encore une fois, il a cédé et a supprimé le code Infatica.

UN ENVIRONNEMENT RICHE EN CIBLES

Ces jours-ci, Nguyen consacre plus de son temps à chrome-stats.com, qui fournit des informations détaillées sur plus de 150 000 extensions. Le service est gratuit pour une utilisation limitée, mais les abonnés qui paient un abonnement mensuel peuvent accéder à davantage de ressources, telles que des versions d’extension plus anciennes et des détails sur leurs composants de code.

Selon chrome-stats.com, la majorité des extensions – plus de 100 000 d’entre elles – sont effectivement abandonnées par leurs auteurs ou n’ont pas été mises à jour depuis plus de deux ans. En d’autres termes, il existe un grand nombre de développeurs susceptibles d’être ouverts à l’achat par quelqu’un d’autre de leur création et de leur base d’utilisateurs.

La grande majorité des extensions sont gratuites, bien qu’une poignée d’entre elles qui ont attiré un public suffisamment nombreux et fidèle aient pu facturer leurs créations ou des services d’abonnement liés à l’extension. Mais l’année dernière, Google a annoncé qu’il était fermeture des extensions Chrome payantes proposées sur son Chrome Web Store.

Nguyen a déclaré que cela ne ferait qu’exacerber le problème des développeurs frustrés qui se tournent vers les offres d’entreprises de marketing douteuses.

« C’est un marché vraiment difficile pour les développeurs d’extensions de pouvoir monétiser et obtenir des récompenses pour la maintenance de leurs extensions », a-t-il déclaré. « Il y a des tonnes de petits développeurs qui n’ont rien pu faire avec leurs extensions. C’est pourquoi certains d’entre eux entreront dans une intégration louche ou vendront l’extension pour de l’argent et en finiront avec ça.

QUI EST INFATICA ?

On ne sait pas combien d’extensions intègrent actuellement le code d’Infatica. BreachTrace a recherché des extensions qui invoquent plusieurs domaines liés au service de proxy Web d’Infatica (par exemple, étendre l’équilibre[.]org, ipv4v6[.]Info). Cette recherche a été menée à l’aide du site de Nguyen et crxcavator.ioun site de recherche similaire appartenant au géant des réseaux Systèmes Cisco.

Ces recherches ont révélé que le code d’Infatica a été associé à au moins trois douzaines d’extensions au cours des dernières années, dont plusieurs comptaient plus de 100 000 utilisateurs. L’un d’entre eux est Video Downloader Plus, qui à un moment donné a revendiqué près de 1,4 million d’utilisateurs actifs.

Le fondateur et directeur d’Infatica – un résident de Biysk, en Russie, nommé Vladimir Fomenko – n’a pas répondu aux multiples demandes de commentaires.

Fomenko est le seul administrateur du iNinjaVPN, un autre service qui obscurcit la véritable adresse Internet de ses plus de 400 000 utilisateurs. Il va de soi qu’iNinja VPN offre non seulement à ses clients un moyen de masquer leur adresse Internet, mais utilise activement ces mêmes systèmes pour acheminer le trafic vers d’autres clients : un plug-in de navigateur Chrome et un bloqueur de publicités du même nom dont le code comprend Le domaine « extenbalanc » d’Infatica compte 400 000 utilisateurs.

Cela mettrait Infatica en ligne avec les activités d’un autre fournisseur de VPN/proxy controversé : Luminatialias « HolaVPN.” En 2015, des chercheurs en sécurité découvert que les utilisateurs de l’extension de navigateur HolaVPN étaient utilisés pour canaliser le trafic Web pour d’autres personnes. En effet, dans la capture d’écran ci-dessus, on peut voir l’équipe marketing d’Infatica comparer son modèle commercial à celui de HolaVPN.

Fomenko est apparu dans deux histoires précédentes de BreachTrace ; tous deux concernés Serveurs royaux (alias « Solution d’hébergement Ltd.« ), une société d’hébergement qu’il exploite depuis des années et qui s’adresse principalement aux sites Web pour adultes.

En 2016, des pirates informatiques soupçonnés de travailler pour les services de sécurité de l’État russe bases de données compromises pour les systèmes électoraux en Arizona et en Illinois. Six des huit adresses Internet identifié par le FBI car les sources de l’attaque remontent à King Servers. Dans un entretien avec Le New York Times plusieurs mois plus tard, Fomenko a catégoriquement nié avoir des liens avec le piratage.

Selon le quotidien russe Novaya Gazetades révélations sur les liens de l’incident de piratage de 2016 avec King Servers ont conduit à des accusations de trahison contre Sergueï Mikhaïlovl’ancien chef adjoint de la plus haute unité russe de lutte contre la cybercriminalité.

Les autorités russes ont accusé Mikhaylov d’avoir informé le FBI d’informations sur Fomenko et King Servers. En 2019, Mikhaylov a été reconnu coupable et condamné à 22 ans dans une colonie pénitentiaire.

SOYEZ ÉPARGNE DANS LES EXTENSIONS DE CONFIANCE

Les extensions de navigateur – aussi utiles ou amusantes qu’elles puissent paraître lorsque vous les installez – ont généralement beaucoup de puissance et peuvent lire et/ou écrire efficacement toutes les données de vos sessions de navigation. Les pouvoirs accordés à chaque extension sont grossièrement énoncés dans son « manifeste », essentiellement une description de ce à quoi elle pourra accéder une fois que vous l’aurez intégrée dans votre navigateur.

Selon chrome-stats.com de Nguyen, environ un tiers de toutes les extensions pour Chrome – de loin le navigateur Web le plus utilisé – ne nécessitent aucune autorisation spéciale. Mais le reste oblige l’utilisateur à accorder une grande confiance à l’auteur de l’extension. Par exemple, environ 30 % peuvent afficher toutes vos données sur tous les sites Web ou sur des sites Web spécifiques, ou indexer vos onglets ouverts et votre activité de navigation.

Plus de 68 000 extensions Chrome permettent l’exécution de code arbitraire dans le contexte de pages Web, permettant ainsi à l’extension de modifier l’apparence et la fonctionnalité de sites spécifiques.

J’espère que c’est évident à ce stade, mais les lecteurs doivent être extrêmement prudents quant à l’installation d’extensions – en s’en tenant principalement à celles qui sont activement prises en charge et répondent aux préoccupations des utilisateurs.

Personnellement, je n’utilise pas beaucoup les extensions de navigateur. Dans presque tous les cas, j’ai envisagé d’en installer une, j’ai été suffisamment effrayé par les autorisations demandées pour que j’ai finalement décidé que cela ne valait pas le risque, étant donné que toute extension peut devenir malveillante au gré de son auteur.

Si vous êtes le type de personne qui utilise plusieurs extensions, il peut être judicieux d’adopter une approche basée sur les risques à l’avenir. Compte tenu des enjeux élevés qui accompagnent généralement l’installation d’une extension, déterminez attentivement si l’extension en vaut vraiment la peine. Cela s’applique également aux plug-ins conçus pour les systèmes de gestion de contenu de sites Web tels que WordPress et Joomla.

N’acceptez pas de mettre à jour une extension si elle demande soudainement plus d’autorisations qu’une version précédente. Cela devrait être un drapeau rouge géant indiquant que quelque chose ne va pas. Si cela se produit avec une extension en laquelle vous avez confiance, vous feriez bien de la supprimer entièrement.

De plus, ne téléchargez et n’installez jamais une extension simplement parce qu’un site Web indique que vous en avez besoin pour afficher un certain type de contenu. Cela est presque toujours une proposition à haut risque. Ici, la règle n°1 des trois règles de sécurité en ligne de BreachTrace entre en jeu : « Si vous n’êtes pas allé le chercher, ne l’installez pas. » Enfin, si vous souhaitez installer quelque chose, assurez-vous de l’obtenir directement de l’entité qui a produit le logiciel.

Les utilisateurs de Google Chrome peuvent voir toutes les extensions qu’ils ont installées en cliquant sur les trois points à droite de la barre d’adresse, en sélectionnant « Plus d’outils » dans le menu déroulant résultant, puis « Extensions ». Dans Firefox, cliquez sur les trois barres horizontales à côté de la barre d’adresse et sélectionnez « Modules complémentaires », puis cliquez sur le lien « Extensions » sur la page résultante pour afficher toutes les extensions installées.