The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Зафиксирована подмена Chrome-дополнения Hola VPN, имеющего 8.7 млн пользователей

10.07.2018 22:35

Компания Hola VPN сообщила о компрометации учётной записи одного из разработчиков проекта, в результате чего злоумышленники смогли подменить официальное дополнение Hola VPN к браузеру Chrome. Дополнение насчитывает около 8.7 млн пользователей.

После получения параметров аутентификации разработчика в сервисах Google злоумышленники опубликовали модифицированную версию дополнения, в которой был встроен скрытый проброс на поддельную фишинг-страницу, срабатывающий при открытии сайта MyEtherWallet.com с реализацией web-кошелька для криптовалюты Ethereum. В настоящее время контроль над учётной записью возвращён и в каталоге Chrome Web Store размещено корректное дополнение. Информации о методе получения контроля за учётной записью разработчика Hola VPN пока не раскрывается.

Всем пользователям MyEtherWallet, которые вчера обновляли или устанавливали Chrome-дополнение Hola VPN рекомендуется срочно завести новую учётную запись и перевести на неё имеющиеся в электронном кошельке средства. Это вторая действенная атака против MyEtherWallet за последние месяцы - в апреле злоумышленникам удалось через манипуляции с BGP перенаправить трафик DNS-сервиса Amazon Route 53 на свой хост и на несколько часов подменить сайт MyEtherWallet.com.

  1. Главная ссылка к новости (http://hola.org/blog#chrome-co...)
  2. OpenNews: В браузерном дополнении Stylish выявлен код для отправки истории посещений
  3. OpenNews: В Chrome будет прекращена поддержка установки дополнений по запросу сторонних сайтов
  4. OpenNews: В результате фишинга получен контроль ещё над 6 дополнениями к Chrome
  5. OpenNews: Злоумышленники получили контроль над Chrome-дополнением с миллионной аудиторией
  6. OpenNews: Chrome-дополнение Particle было выкуплено у автора и превращено во вредоносное ПО
Лицензия: CC-BY
Тип: Проблемы безопасности
Короткая ссылка: https://opennet.ru/48947-chrome
Ключевые слова: chrome, webstore
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (65) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 23:13, 10/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Вот те и VPN
     
     
  • 2.3, Шо (?), 23:18, 10/07/2018 [^] [^^] [^^^] [ответить]  
  • –4 +/
    VP[rivate]N

    ))))

     
     
  • 3.21, 999 (ok), 10:10, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +7 +/
    VP[irate]N
     
  • 2.34, NixMan (?), 13:04, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +10 +/
    Любитeли xaлявы дoлжны cтрaдать. Нормальный VРN таки стоит денег.
     
     
  • 3.49, J.L. (?), 15:32, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Любитeли xaлявы дoлжны cтрaдать. Нормальный VРN таки стоит денег.

    как будто владелец твоего VPN (который ты арендуешь, за таки деньги) не может сделать тоже самое

    должен быть децентрализованный протокол типо ipfs/tox/i2p

     
     
  • 4.59, Аноним (59), 20:39, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Владелец моего VPN - я. Да, пришлось сесть за буквари и освоить докер. Владельцу хостинга придётся сделать много телодвижений, чтобы поиметь меня через этот VPN так, чтобы я этого не заметил. Обходится примерно в 70 р. в месяц ($1 + комиссии).
     
     
  • 5.65, Аноним (65), 04:47, 12/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    >сделать много телодвижений

    Значительно меньше, чем залить поддельное дополнение. Всего-то надо перенаправить твой трафик в другой контейнер. Делается в 3½ команды.

     
  • 4.64, tdykunlogged (?), 23:40, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    переводил как-то вайтпейпер одного  vpn стартапа, там в реализации впн днс записи проверяться будут по консенсусу всех участников (в роли выходных нод) сети - думаю, как раз то, что нужно. ( гуглится по словам "голос белая книга впн")
     

  • 1.2, Шо (?), 23:16, 10/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Эта вакханалия вокруг крипто-кошельков уже перестала удивлять применяемыми методами... Дырок полно, выбирай любую и вперёд...
     
  • 1.4, user90 (?), 23:24, 10/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +11 +/
    На самом деле эта "новость" про то, что любой Google * Store - банальная свалка.
     
     
  • 2.13, Аноним (-), 08:02, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Как и гугловский же Play market

    Интернет вообще помойка, глупо доверять пустым лейблам. Надо сохранять бдительность, все хотят поиметь твои данные, и без боя не сдаваться. А такие как Гугл делают всё, что бы усыпить бдительность юзеров. Придумывают всякие "зеленые" индикаторы, новости выпускают о безопасности. Но никто не позабодится о ТВОЕЙ безопасности, кроме тебя.

    Это как мытье рук и вытирание жопы - нужно все делать тщательно самому. И даже если мелкие- будут обещать -мягкость ощущений - они это делают только лишь для собственного удовлетворения.

     
     
  • 3.26, Аноним (26), 11:48, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Ну а зачем ты на помойку лезешь тогда? Откажись от неё, жили же люди до интерентеов этих ваших с гуглями. Ну там девки-сеновалы, утром покос - вечером надои...
     
     
  • 4.31, Аноним (31), 12:53, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > Ну а зачем ты на помойку лезешь тогда? Откажись от неё, жили же люди до интерентеов этих ваших с гуглями. Ну там девки-сеновалы, утром покос - вечером надои...

    Да, появление интернета позволило провести промышленную революцию и индустриализацию. А ветер дует потому что деревья кочаются.
    > утром покос - вечером надои

    ночью домкраты?

     
     
  • 5.56, Аноним (56), 20:03, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >появление интернета позволило провести промышленную революцию и индустриализацию

    Скорее угробило их результаты. Вместо того, чтобы на заводе работать, народ теряет время в интернетах

     
     
  • 6.63, Аноним (-), 20:57, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Толсто. В 2018 году так не вбрасывают. :)
     
  • 2.37, Аноним (-), 13:17, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    ios-маркет такая же свалка, с чуть более строгой модерастией.
     
     
  • 3.71, чебурнет.рф (ok), 05:37, 15/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > ios-маркет

    Что это?

     
  • 2.41, Аноним (-), 13:27, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    В чем проблема то? Юзай фридройд.
     

  • 1.6, Аноним (6), 23:41, 10/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Так это Hola сама с душком. Помню скандал был что они трафик продают.
     
     
  • 2.32, Аноним (32), 13:00, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Мне недавно на рабочую почту спам от них был, довольно настойчивый. Типа, давайте вы вставите в ваш виндовый инсталлятор наш блоб, а мы вам заплатим. Проект называется luminati)
     
     
  • 3.47, нах (?), 14:32, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • –2 +/
    и чо - ты лоханулся и остался без бабла?
     
  • 2.46, нах (?), 14:31, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • –8 +/
    там не в том дело что продают, там в том дело, кого продают.
    Они продают своих "бесплатных" пользователей - в качестве выходных релеев.
    То есть каждый пользователь бесплатного трэша - автоматически и без возможности на это влиять (и без особо заметного сообщения ему об этом - никто не читает eula) становится кандидатом на соседство по камере с псевдоматематиком Богатовым (уже, наверное, признавшегося в том, что он никакой не математик, а мериканский шпиен, а так же ируканский и соанский)

     
     
  • 3.52, Аноним (-), 16:42, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Богатов свободен. Вылезай из криокамеры.
     
     
  • 4.66, товарищ майор (?), 09:20, 12/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    ты тоже будешь свободен сразу, как подпишешь вот это, вот это, и вооон то.

     
  • 3.72, чебурнет.рф (ok), 05:44, 15/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Это как? Пока я сижу под каким-то норвежским ip, кто сидит под моим?
     
     
  • 4.74, holavpn (?), 14:03, 27/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    ну да, именно так. И, кажетсо, транзитным узлом тоже можешь побыть - но это-то почти безопасно, в отличие от релеинга хз чьего траффика в паблик.

    причем это - платный юзер сидит, свой адрес он так не палит, и, как ты понимаешь, если он заплатил за эту услугу - он ни разу не на опеннете спамить приходил.

    в общем, "если где-то тебе что-то дают забесплатно - значит товар это ты".

     

  • 1.7, Аноним (7), 23:57, 10/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Отдельный браузер без расширений для всего этого вот того.
     
     
  • 2.9, Аноним (9), 02:50, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Лучше мобильный клиент всех возможных HTTP-сайтов (не браузер), с открытым кодом, без жабоскрипта и СМС, причем чтобы можно было при компиляции выбрать, какие полтора сайта нужны. Сжечь на кострах весь нынешний вебдваноль.
     
     
  • 3.17, Xasd (ok), 09:17, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Сжечь на кострах весь нынешний вебдваноль.

    а разве в web-2.0 что-то было про любителей изнасиловать себя браузерными расширениями?

    вся суть в web-2.0 как раз была -- наоборот -- в том чтобы можно было бы обойтись только лишь чистым браузером.

     
     
  • 4.29, Аноним (29), 12:08, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Ага, конечно.
    Суть Web 2.0 - динамический контент, подгружаемый (оптимистик дизайн, да) в рантайме.
    А это, на секундочку, стопроцентный джаваскрипт.

    Другое дело, что старый кондовый статичный веб уже наxрен не нужен, точно так же как и морзянка в gsm сетях.

     
     
  • 5.44, Аноним (31), 13:46, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Ага, конечно.
    > Суть Web 2.0 - динамический контент, подгружаемый (оптимистик дизайн, да) в рантайме.

    Суть веб 2.0 - много-много базвордов и специально подогнанная под пользателя реклама.

    > А это, на секундочку, стопроцентный джаваскрипт.
    > Другое дело, что старый кондовый статичный веб уже наxрен не нужен,

    146%. Кстати, опеннет как ресурс вполне работает и без ЖС. Значит ли что он статичен, не нужен или просто переоценку ЖС макак незаменимости себя любимых?


     
  • 2.43, Аноним (-), 13:31, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    И вот ты изобрел Tor...
     
     
  • 3.53, Аноним (53), 17:45, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Но он с расширениями.
     
     
  • 4.58, Аноним (-), 20:32, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    tor =/= torbrowser. Ну а в последнем расширения отключаются - это не хромог с захардкожеными
     
     
  • 5.60, Аноним (60), 20:48, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Но чем меньше аддонов в тор-браузере - тем лучше. Этож своего рода фингерпринт!
     

  • 1.8, Аноним (8), 01:52, 11/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Да уж. Проблема века. С другой стороны - необходимость в впн для интернета в интернете тот еще костыль.
     
     
  • 2.14, Аноним (-), 08:06, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Это не костыль, это данность времени. А всяческие DPI и композоры - рак современности и интернета. Удивляет, насколько мерзкие людишки работают во всяких разных infowatch
     
     
  • 3.27, Аноним (26), 11:53, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Бизнес есть бизнес. Не хотят вот, чтобы ты свой представляющий коммерческую тайну говнокод конкуренту сливал - заказывают DPI. Спрос рождает предложение.

    Ну а потом появляются идеи о более масштабной цензуре, да.

     
  • 2.15, Аноним (15), 08:11, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +4 +/
    А как без этого?
    https://www.opennet.ru/opennews/art.shtml?num=46944
     
  • 2.42, Аноним (-), 13:29, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Не распарсил что ты сказал. Интернета в интернета? WHAT?!
     

  • 1.10, Аноним (10), 03:47, 11/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    DotVPN работает? Hola написан индусами для индусов.
     
  • 1.12, Аноним (-), 06:57, 11/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    >криптовалюты
    >Chrome

    Вот это анекдот!

     
     
  • 2.67, Аноним (-), 10:36, 12/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Мой хром до сих пор майнит на компе моей сестры. Че делать то?
     

  • 1.18, robot228 (?), 09:22, 11/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –8 +/
    Каким надо быть дауном чтобы это юзать? Не важно угнали учётку или нет, сам факт вот этих вот фри впн умиляет.
     
     
  • 2.20, Аноне (?), 09:27, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Для целей, соответствующих вашему нику, да, а прон глянуть кому-то может и достаточно.
     
  • 2.39, Bakunin (?), 13:24, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +9 +/
    Юзаю бесплатные ВПНы 5 лет - проблем нет. Хороший ВПН настраивается через openvpn, а не левые плагины. На сайты без шифрования не ходи и все (не знаю, остались еще такие?). Ты себя еще айтишником называешь? Ты домохозяйка-параноик.
     

  • 1.22, Анонимчик (?), 10:37, 11/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Midori спасет отца русской десократии,минимум дополнений,одни js
     
     
  • 2.24, 123 (??), 11:27, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Судя по ланчпаду и новостям проекта, он тихо умер в 2016 году.
     
     
  • 3.25, Анонимчик (?), 11:36, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Неее...Он как Ильич - живее всех живых.:)
     
     
  • 4.28, 123 (??), 11:58, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Он как Ильич

    Валяется дохлым у всех на виду?

     
     
  • 5.62, Аноним (-), 20:55, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Не по-христиански это - превращать человеческие трупы в достопримечательность. Надо бы похоронить.
     
     
  • 6.73, Аноним (73), 08:22, 15/07/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да ладно.
    Как раз мощи и всё такое.
    Очень даже по-христиански
     
  • 2.40, Аноним (-), 13:25, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Но он не развивается давно.
     

  • 1.23, Аноним (-), 10:49, 11/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    >hola

    это те, которые использовали пользователей как гейты для их же впн?

     
     
  • 2.30, Анонимчик (?), 12:11, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Примерно так, но некрофилы вроде меня ценят такие проекты и  как оказалось совсем не зря.
     
     
  • 3.38, Аноним (-), 13:19, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Чем ты занимаешься через впн?
     
     
  • 4.45, Я (??), 13:48, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    он же написал - НЕКРОФИЛЫ вроде него.

    Может, трупы покупает, может, видосы смотрит/заливает

     
     
  • 5.48, Аноним (48), 14:32, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Клуб анонимных трупоедов?
     
  • 5.50, Аноним (50), 16:32, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    На тематику FreeBSD?
     
     
  • 6.51, Аноним (-), 16:41, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Тёмными ночами он пытается пропатчить...
     
  • 2.70, Аноним (70), 17:17, 12/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Не использовали, а используют.
     

  • 1.57, Аноним (57), 20:11, 11/07/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Вот поэтому ставьте расширения в браузеры из репозиториев дистрибутива, а не с мусоросборки.
     
     
  • 2.61, Мой тебе совет внучок (?), 20:51, 11/07/2018 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Аддонов для браузера на сайте Mozilla - миллионы.

    Аддонов для браузера в репозитории - кот наплакал.

    Истина в том, чтобы ставить только аддоны с пометкой "featured", т.к. они проходят аудит Mozilla.

     
  • 2.68, Аноним (-), 10:37, 12/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Да ты наркоман похоже!
     
     
  • 3.69, ping (??), 11:05, 12/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    комбайнёр
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру