Một phân tích mới đây về tiện ích mở rộng phổ biến 'Adblock for YouTube' trên Google Chrome đã phát hiện khả năng thực thi mã JavaScript tùy ý đầy nguy hiểm. Công cụ này hiện sở hữu hơn 10 triệu lượt cài đặt và thậm chí từng được gắn nhãn nổi bật (Featured) trên cửa hàng Chrome trực tuyến. Mặc dù chưa có bằng chứng cho thấy mã độc đã được phân phối đến người dùng, nhưng rủi ro bảo mật là rất lớn khi nó có mối liên hệ với các tiện ích khác vừa bị Google xóa bỏ vì chứa phần mềm độc hại.
Tiện ích chặn quảng cáo YouTube với hơn 10 triệu người dùng dính nghi vấn mã độc
ẢNH: CHỤP MÀN HÌNH
Hơn 10 triệu người dùng Chrome nghi nhiễm mã độc từ tiện ích chặn quảng cáo quen thuộc
Theo các nhà nghiên cứu, tiện ích này chứa một cấu trúc chèn mã độc điều khiển từ xa được kích hoạt dễ dàng từ phía máy chủ mà không cần cập nhật ứng dụng hay thông qua cửa hàng kiểm duyệt. Về mặt lý thuyết, lỗ hổng này có thể cho phép kẻ xấu đọc trang web, đánh cắp dữ liệu và chiếm quyền tài khoản cá nhân hoặc ứng dụng công việc của người dùng. Nguy hiểm hơn, tiện ích chặn quảng cáo này yêu cầu quyền truy cập sâu rộng để thay đổi trang và chạy ngầm trên mọi website mà người dùng truy cập.
Hệ thống bảo vệ của ứng dụng bị phát hiện lỏng lẻo khi chỉ kiểm tra chuỗi ký tự "youtube.com" xuất hiện ở bất kỳ đâu trong URL thay vì xác thực tên miền chính thức. Điều này khiến cơ chế bảo mật dễ dàng bị qua mặt trên các trang web giả mạo như tài khoản ngân hàng hay mạng xã hội. Rủi ro càng tăng cao khi tiện ích này từng sử dụng bộ công cụ chèn quảng cáo Unistream SDK và đã trải qua một đợt thay đổi lớn về chủ sở hữu cũng như mã nguồn.
Ngay sau khi thông tin bị tiết lộ, nhà sáng lập AdBlock Ltd đã lên tiếng khẳng định ứng dụng chưa từng và sẽ không bao giờ lợi dụng khả năng chèn mã này để gây hại. Công ty hiện chuẩn bị một bản cập nhật mới gửi lên Google nhằm thắt chặt quy trình xác thực tên miền YouTube và loại bỏ hoàn toàn quyền chèn mã thực thi từ máy chủ. Bản đính chính cũng làm rõ đoạn mã chạy ngầm thực chất thuộc về thư viện mã nguồn mở AdGuard được các trình chặn quảng cáo chính thống tích hợp, chứ không phải do công ty tự viết ra.
//Chèn ads giữa bài (runinit = window.runinit || []).push(function () { //Nếu k chạy ads thì return if (typeof _chkPrLink != 'undefined' && _chkPrLink) return; var mutexAds = '<zone id="l2srqb41"></zone>'; var content = $('[data-role="content"]'); if (content.length > 0) { var childNodes = content[0].childNodes; for (i = 0; i < childNodes.length; i++) { var childNode = childNodes[i]; var isPhotoOrVideo = false; if (childNode.nodeName.toLowerCase() == 'div') { // kiem tra xem co la anh khong? var type = $(childNode).attr('class') + ''; if (type.indexOf('VCSortableInPreviewMode') >= 0) { isPhotoOrVideo = true; } } try { if ((i >= childNodes.length / 2 - 1) && (i < childNodes.length / 2) && !isPhotoOrVideo) { if (i <= childNodes.length - 3) { childNode.after(htmlToElement(mutexAds)); arfAsync.push("l2srqb41"); } break; } } catch (e) { } } } }); function htmlToElement(html) { var template = document.createElement('template'); template.innerHTML = html; return template.content.firstChild; } if (window.pageSettings && pageSettings.allow3rd && (typeof window._isAdsHidden === 'undefined' || !window._isAdsHidden)) { if (!laNuocNgoai) { (function (w, q) { w[q] = w[q] || []; w[q].push(["_mgc.load"]); })(window, "_mgq"); } } (function() { if (!(window.pageSettings && pageSettings.allow3rd && (typeof window._isAdsHidden === 'undefined' || !window._isAdsHidden))) return; if (typeof window.laNuocNgoai === 'undefined' || !window.laNuocNgoai) return; // chỉ chạy khi laNuocNgoai true var containerSelector = 'div.detail-cmain'; var root = document.querySelector(containerSelector); if (!root) return; // Thu thập figure + p (p không nằm trong figure) var figures = Array.from(root.querySelectorAll('figure')); var paragraphs = Array.from(root.querySelectorAll('p')).filter(function(p){ return !p.closest('figure'); }); var elements = figures.concat(paragraphs); // NodeList vốn đã theo DOM order => không cần sort if (!elements.length) return; var target = elements[Math.floor(elements.length / 2)]; // giữa bài if (!target || !target.parentNode) return; var newDiv = document.createElement('div'); newDiv.id = 'taboola-mid-article-widget'; target.parentNode.insertBefore(newDiv, target.nextSibling); window._taboola = window._taboola || []; window._taboola.push({ mode: 'thumbnails-4x1', container: 'taboola-mid-article-widget', placement: 'Mid Article Widget', target_type: 'mix' }); })();
