新しいセキュリティ研究「MarioNetを提示することにより、最新のブラウザAPIが攻撃者に提供する強力な機能を示します: リモートの悪意のあるエンティティが訪問者のブラウザを制御し、不要な計算や有害な操作のためにそのリソースを悪用できるようにするフレームワーク, 暗号通貨マイニングなど, パスワードクラッキング, およびDDoS」.
言い換えると, ブラウザAPIを利用して、Webサイト訪問者のブラウザを制御できます。. ブラウザをボットネットに追加できます, その後、さまざまな悪意のあるシナリオで悪用されました.
マリオネットとは?
によると レポート, いわゆるMarioNetは、すでに利用可能なHTML5APIのみに依存しています, 追加のソフトウェアをインストールする必要はありません. MarioNetは、以前のブラウザベースのボットネットとは異なり、その永続性とステルス性により、ブラウザを閉じた後も悪意のあるアクティビティをブラウザのバックグラウンドで継続できます。.
この概念を証明するために, 研究者はデザインを発表しました, 実装, プロトタイプシステムの評価, これはすべての主要なブラウザと互換性があります.
MarioNetは、ServiceWorkerモジュールに埋め込まれたブラウザ内コンポーネントで構成されています, およびリモートコマンドアンドコントロールシステム. MarioNetはJavaScriptを利用し、ほとんどすべてのデスクトップまたはモバイルブラウザで展開されるHTML5 APIに依存しているため、ユーザーがソフトウェアをインストールする必要がないことを考慮に入れる必要があります。. 悪意のある可能性のある設計では、Service Workers APIを使用して、Webページのバックグラウンドで実行されているServiceWorkerを登録およびアクティブ化します。.
ユーザーがウェブサイトから離れて閲覧するとき, そのWebサイトのサービスワーカーは通常、ブラウザーによって一時停止されます; 親ドメインに再度アクセスすると、再起動して再アクティブ化されます. でも, Webサイトの発行者は、定期的な同期を実装することにより、サービスワーカーを存続させることができます。.
また、サービスワーカーの登録は、ユーザーには表示されない、または利用できないことに注意することも重要です。 – ウェブサイトは、サービスワーカーを登録および維持するためにユーザーの許可を必要としません. 加えて, Webワーカーと同様, サービスワーカーはDOMに直接アクセスできません. その代わり, 彼らは、を介して送信されたメッセージに応答することにより、親のWebページと通信します。 postMessage インターフェース, レポートのハイライト.
要するに, MarioNetエクスプロイトは、セキュリティ監視拡張機能とユーザーによる検出が困難です, 攻撃を非常に強力で危険なものにする. ブラウザ拡張機能は、サービスワーカーの発信トラフィックを監視できません. ユーザーは, 平均的なユーザーが何かが間違っていることに気付く可能性はほとんどありません (より多くのリソースを使用するデバイスのように). ついに, MarioNetの概念により、攻撃者はプロセスを監視および制御できます. ServiceWorkerを登録する悪意のあるページを継続的に制御する必要もありません. 登録が完了したら, ワーカーは、別のコマンドアンドコントロールサーバーとの通信チャネルを確立します.
MarioNetに対する緩和策はありますか?
レポートはまた、「さまざまな防衛戦略」を提示し、「それらがもたらす対応するトレードオフ」. 考えられる緩和策の1つは、サービスワーカーの制限または無効化を示唆しています, しかし、それは最善の解決策ではありません:
制限を強制することによって, サービスワーカーは、上記のバックグラウンド処理を提供できなくなります, したがって、現代のWebアプリケーションの機能を大幅に制限します, 深刻な劣化をもたらす 11 ユーザーエクスペリエンスの. それを軽減するために, より良い解決策は、一部の「信頼できる」Webサイトに対してのみサービスワーカーを選択的に有効にすることです。, おそらくサービスワーカーの無条件登録を防ぐブラウザ拡張機能を介して.
他のソリューションには、行動分析と異常検出が含まれます, サービスワーカーの登録とアクティブ化にはユーザーの許可が必要です, ホワイトリスト/バックリストの戦術を適用して「ブラウザを制限する, きめ細かいポリシーで, サービスワーカーの取得と展開から」.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: