Cerca de 1,6 milhões de pessoas tinham instalada, no Chrome e no Edge, uma extensão de confiança para o navegador. Escondido no código dessa extensão vinha um coletor pronto a registar todos os sites que elas visitavam. A Google e a Microsoft acabaram de a retirar das lojas.
Chama-se ModHeader e é uma ferramenta que permite alterar os cabeçalhos dos pedidos que o navegador envia (os HTTP headers), usada sobretudo por quem constrói e testa sites. O pormenor que devia arrepiar não é o do costume, uma cópia falsa a passar-se pela verdadeira. Foi a versão genuína, a mesma que a loja oficial assinou e distribuiu, que trazia o coletor lá dentro.
A versão verdadeira, não uma cópia
Quem deu o alarme foi a Stripe OLT, uma empresa de segurança britânica. Compararam o código com a própria assinatura da loja da Google e confirmaram o pior: o espião viajava dentro da extensão a sério, na versão 7.0.18, não numa imitação. É aqui que o selo de «genuíno» das lojas mostra exatamente o que vale. Ele garante que aquilo é mesmo a versão do programador, não garante que a versão do programador seja inofensiva.
E uma extensão não é uma coisa que se examina uma vez e fica arrumada. É código que se atualiza sozinho, em silêncio, para sempre, com as permissões que lhe deste no primeiro dia. Aprovas uma vez e confias para sempre, mesmo quando o programa se reescreve debaixo dos teus pés.
O que fazia, e porque passou despercebido
Ligado, o coletor apanhava os domínios dos sites que abrias, cifrava a lista com uma chave escondida no próprio código, guardava-a dentro do navegador e, ao juntar mil endereços, empacotava tudo e enviava-o para um servidor à espera, em api.stanfordstudies.com. Cada peça foi desenhada para enganar a revisão automática das lojas: os dados seguiam encriptados para não se lerem, o envio estava desativado de origem, e o código malicioso foi diluído no meio do código legítimo e comprimido para não saltar à vista.
Houve, ainda assim, uma salvaguarda involuntária. O coletor estava adormecido, uma lista de autorizações vazia mantinha-o desligado, e não há prova de que alguma vez tenha recolhido ou enviado um único endereço. Estava montado, não disparado. A Microsoft retirou-o da loja do Edge a 3 de julho e a Google tirou-o do Chrome uma semana depois, a 10. Mesmo desligado, dava sinal de vida: a extensão contactava um segundo domínio, extensions-hub.com, de cada vez que era instalada, atualizada ou removida, a comunicar que produto, que versão e que navegador.
Do ponto de vista de quem investiga incidentes, «não há prova de que disparou» não é o mesmo que «era seguro». É uma escuta instalada e ainda por ligar, e a distância entre as duas coisas é uma linha de configuração. A ausência de vítimas conhecidas explica-se pela lista vazia, não por bondade do código. E não foi a primeira vez que extensões úteis e verificadas, nas lojas oficiais, apareceram a fazer o que ninguém pediu, a imprensa portuguesa já o noticiou mais do que uma vez.
Como te proteges
O caso é uma boa desculpa para uma limpeza que quase ninguém faz:
- Arruma as extensões que tens. Remove as que já não usas, cada uma é uma porta aberta com as permissões que lhe deste um dia.
- Lê as permissões que pede. Uma ferramenta simples que exige «ler e alterar todos os teus dados nos sites que visitas» está a pedir muito para o que faz.
- Lembra-te da atualização silenciosa. O risco não vive só no dia em que instalas, vive em cada atualização automática que vem depois. Mantém ao mínimo as extensões a que dás poder.
- Tirar da loja não apaga do teu navegador. A extensão continua instalada até a removeres à mão, confirma que já não a tens.
- Se usaste a ModHeader a trabalhar, troca já os segredos. Chaves de API, tokens de autorização e cookies de sessão que tenhas colocado em cabeçalhos personalizados devem ser considerados expostos e substituídos.
A loja oficial filtra muita coisa, mas não filtra o tempo, e o código em que confiaste ontem pode não ser o que corre amanhã. A pergunta útil deixou de ser se uma extensão é de confiança, passou a ser se continua a ser.
Fonte: The Hacker News.
#StaySafe
🙏🖖
