Tiện ích mở rộng AVG trên Chrome gây lộ lọt dữ liệu người dùng

09:35 | 04/01/2016 | LỖ HỔNG ATTT

Tiện ích mở rộng trên Chrome do AVG AntiVirus tự động cài đặt trên hệ thống người dùng gây nguy cơ lộ lọt lịch sử duyệt web và các thông tin cá nhân khác trên Internet. Đây là phát hiện của nhà nghiên cứu Tavis Ormandy thuộc nhóm Google Project Zero.

Tiện ích mở rộng AVG trên Chrome gây lộ lọt dữ liệu người dùng

Theo báo cáo của Ormandy, tiện ích Chrome này được gọi là AVG Web TuneUp được cài đặt trên hệ thống người dùng cuối cùng với phần mềm diệt virus của AVG. Tiện ích gây ra nhiều lỗ hổng cho trình duyệt, dẫn tới việc hơn 9 triệu người dùng rơi vào nguy hiểm.

Theo giải thích của nhà nghiên cứu, tiện ích này được thiết kế để bổ sung số lượng lớn các giao diện lập trình ứng dụng (API) JavaScript cho Chrome với mục đích chiếm dụng cài đặt tìm kiếm và trang tab mới. Tuy nhiên, nhiều API trong số đó bị lỗi. Ngoài ra, Ormandy lưu ý quá trình cài đặt tiện ích này cũng rất phức tạp vì nó có thể qua mặt các cơ chế kiểm duyệt mã độc của Chrome, vốn được thiết kế nhằm ngăn chặn việc lạm dụng API của tiện ích.

Trong số các lỗ hổng của AVG Web TuneUp, nhà nghiên cứu đề cập đến lỗi XSS (Cross-Site Scripting) trong API điều khiển, cho phép website thực thi ngôn ngữ lập trình trên các tên miền khác. Theo Ormandy, website có thể đọc được các email từ địa chỉ mail google.com và thực hiện các hành vi khác bởi lỗ hổng ở mức rất nghiêm trọng.

Nhà nghiên cứu cũng cho biết tiện ích API khiến cho lịch sử duyệt web của người dùng bị lộ trên Internet. Ormandy lưu ý tiện ích và các API có lỗi cũng có thể được sử dụng để thực thi mã từ xa nếu kẻ xấu có đủ thời gian và kiên nhẫn.

Ormandy đã phối hợp cùng AVG giải quyết các lỗi trên tiện ích, đồng thời tạo lập mã khai thác đánh cắp cookie từ avg.com.

Ormandy cho biết tiện ích này vẫn cho phép tin tặc tấn công man-in-the-middle (MitM) để chèn JavaScript vào nguồn “bất kỳ”, thậm chí là nguồn an toàn (trang HTTPS), do vậy sử dung bảo vệ bằng SSL với những ai sử dụng tiện ích này là vô nghĩa. Hơn thế nữa, nhà nghiên cứu cũng giải thích bất kỳ XSS trên avg.com đều có thể được sử dụng để tấn công người dùng Chrome.

Tiện ích AVG Web TuneUp Chrome phiên bản 4.2.5.169 xử lý được lỗi này. Tuy nhiên, Google đã vô hiệu hóa cài đặt trực tiếp cho tiện ích này. Người dùng cần truy nhập vào kho và tải phiên bản đã cập nhật một cách thủ công. Đồng thời, Google cũng đang tìm hiểu về những xung đột về mặt chính sách của hãng.

Tháng 11/2015, hãng enSilo cũng đã tiết lộ lỗ hổng ở mức nghiêm trọng được tìm thấy trong AVG Internet Security 2015, có thể bị khai thác bởi tin tặc nhằm qua mặt các cơ chế bảo vệ Windows.

‹ › ×

Tin liên quan

Nhiều ứng dụng lộ hành vi thu thập dữ liệu người dùng trên iOS 14

14:00 | 03/07/2020

Bên cạnh 53 ứng dụng bị cho là thu thập dữ liệu người dùng, iOS 14 cũng chỉ ra ứng dụng nhắn tin Zalo âm thầm đọc bộ nhớ tạm thời của người dùng.

Tin cùng chuyên mục

Hàng tỷ thiết bị Android dính lỗ hổng nghiêm trọng

14:00 | 17/05/2024

Microsoft đã phát hiện ra một lỗ hổng nghiêm trọng có tên là Dirty Stream đe dọa các ứng dụng Android phổ biến.

Hệ thống công nghệ thông tin của PVOIL bị tấn công ransomware

09:00 | 03/04/2024

Ngày 02/4, hệ thống công nghệ thông tin của Tổng công ty Dầu Việt Nam (PVOIL) bị tấn công bất hợp pháp có chủ đích theo hình thức mã hóa dữ liệu (ransomware). Vụ việc này đã khiến hệ thống công nghệ thông tin của PVOIL bị ngưng trệ, việc phát hành hóa đơn điện tử phục vụ việc bán hàng của PVOIL tạm thời không thể thực hiện được.

Tin tặc lợi dụng khai thác MultiLogin của Google để chiếm quyền điều khiển phiên người dùng

10:00 | 31/01/2024

Các nhà nghiên cứu tại công ty an ninh mạng CloudSEK (Ấn Độ) cho biết: tin tặc đang phân phối phần mềm đánh cắp thông tin bằng cách lợi dụng điểm cuối Google OAuth có tên MultiLogin để chiếm quyền điều khiển phiên của người dùng và cho phép truy cập liên tục vào các dịch vụ của Google ngay cả sau khi đặt lại mật khẩu.

Giải mã biến thể mới của phần mềm độc hại Bandook

09:00 | 29/01/2024

Các nhà nghiên cứu đến từ hãng bảo mật Fortinet (Mỹ) phát hiện một biến thể mới của Trojan truy cập từ xa có tên Bandook đang được phân phối thông qua các cuộc tấn công lừa đảo nhằm mục đích xâm nhập vào các máy tính Windows. Bài viết sẽ phân tích hành vi của Bandook, cung cấp thông tin chi tiết về các thành phần được sửa đổi trong biến thể mới và giải mã một số ví dụ về cơ chế giao tiếp máy chủ ra lệnh và điều khiển (C2) của phần mềm độc hại này.