Chrome, Edge и Brave под ударом: Google слила код для атаки на неисправленный баг

Как работает баг

Проблему обнаружила независимая исследовательница Лайра Ребане еще в конце 2022 года и сразу частным образом сообщила об этом Google. Уязвимость скрывается в инструменте под названием Browser Fetch - это стандартная функция, которая позволяет браузеру загружать большие файлы или длинные видео в фоновом режиме.

Запуск вредоносного кода происходит автоматически, когда человек заходит на любой опасный сайт, где хакеры прописали специальный JavaScript. После этого в браузере открывается скрытый служебный процесс, который остается активным постоянно.

Баг оказался настолько цепким, что в зависимости от типа программы подключение хакеров не исчезает даже после полной перезагрузки самого браузера или компьютера.

По словам Ребане, задержка с ремонтом возникла из-за того, что ошибка формально не нарушает закрытые системные границы операционной системы - то есть хакеры не могут напрямую украсть ваши пароли, личные фото или письма с почты. Поэтому разработчики Google отложили проблему и не до конца понимали ее опасность, пока случайно не слили код в открытый доступ во время утреннего обновления базы данных.

Чем это грозит пользователям и какие браузеры под ударом?

Хотя прямой доступ к файлам компьютера закрыт, "дыра" в движке работает как ограниченный "бэкдор" (тайный вход). Злоумышленник может объединить тысячи или даже миллионы таких зараженных устройств в единую сеть - ботнет.

Полученную сеть хакеры способны использовать для следующих целей:

Маскировка и прокси: компьютер жертвы становится бесплатным анонимным каналом, через который посторонние люди могут тайно просматривать сайты в интернете.

Массовые DDoS-атаки: хакеры могут заставить миллионы чужих браузеров одновременно отправлять запросы на определенный сайт, чтобы полностью "положить" его серверы.

Слежка: частичный мониторинг того, какие именно страницы посещает пользователь.

Пострадать от утечки могут пользователи почти всех брендов, которые построены на базе кода Chromium. Исследователи официально подтвердили опасность для Chrome, Microsoft Edge, Brave, Opera, Vivaldi и Arc.

В то же время пользователи браузеров Firefox и Safari находятся в полной безопасности. Эти программы созданы на других индивидуальных движках и вообще не поддерживают технологию фоновой загрузки файлов в таком виде.

Как распознать опасность самостоятельно?

Эксперты отмечают, что обычному человеку заметить взлом очень трудно, ведь вредоносный процесс маскируется под мелкую системную ошибку. Главный признак, который должен вызвать подозрение - внезапное появление выпадающего окна загрузок в углу экрана без всякой понятной причины.

В браузере Microsoft Edge такое окошко может мигнуть только один раз при запуске и больше не появляться, не добавляя никаких реальных файлов в список. В Chrome это окно является более устойчивым и висит дольше.

Сейчас представители Google отказались комментировать причины утечки и не назвали точных сроков выхода официального защитного патча.