Adblock for Youtube: permessi e codice pericolosi

È noto che YouTube cerca in tutti i modi di mettere fuori uso gli adblocker. Gli utenti vogliono invece eliminare la pubblicità, quindi installano varie estensioni, tra cui Adblock for Youtube disponibile sul Chrome Web Store. Secondo i ricercatori di Island, lo sviluppatore potrebbe sfruttare permessi e codice nascosto per rubare dati e prendere il controllo del browser.

È sufficiente una modifica lato server

Adblock for Youtube è stata scaricata oltre 11 milioni di volte, ha un punteggio di 4,4 e Google ha assegnato anche il badge “Featured” (In primo piano). Molti utenti scrivono nelle recensioni che funziona perfettamente, quindi rimuove le inserzioni pubblicitarie da YouTube.

Come tutti gli adblocker richiede ampi permessi perché deve iniettare codice nella pagina web per rimuovere i banner. Essendo per YouTube, l’estensione dovrebbe chiedere il permesso di modificare solo la pagine di YouTube. Invece nel file manifest è presente il permesso per tutte le pagine web. C’è un “filtro” in base al quale il codice viene iniettato solo nelle pagine che hanno “youtube.com” nell’URL, ma ciò significa che l’estensione viene attivata quando la stringa è presente in qualsiasi punto dell’URL (ad esempio https://www.facebook.com/page?ref=youtube.com).

Ogni 24 ore, l’estensione preleva dal server remoto la sua configurazione che include le regole di blocco e quelle che stabiliscono gli scriplet da eseguire. Uno di essi crea elementi HTML nella pagina web e potrebbe essere attivato con una modifica lato server (ora è dormiente).

Sfruttando questa capacità, Adblock for Youtube potrebbe iniettare lo scriplet nelle pagine di YouTube e quindi aprire un URL di Salesforce, Microsoft o Google che contiene la suddetta stringa. L’estensione inietta lo scriplet anche nelle pagine di Salesforce, Microsoft o Google, accede ai dati dell’utente e li invia al server remoto.

Google ha rimosso due estensioni simili che condividono la stessa infrastruttura di backend, in quanto contenevano malware. Adblock for Youtube è sul Chrome Web Store dal 2014, nonostante cambio di proprietà e riscrittura del codice. I ricercatori hanno analizzato la versione 7.2.2. Oggi è stata pubblicata la versione 7.2.4. Non è noto se contiene lo stesso codice.