标签: Chrome

Microsoft Edge v82 开始提供与 Chrome 相似的伪装 URL 安全提醒

Google Chrome浏览器提供了“相似网址”警告保护,以警告并使用户在访问包含与热门网站相似的URL的网站时及时离开。当发现用户访问包含风险的伪造相似地址的网站时,系统会弹出警告“您刚刚尝试访问的网站看起来是假的,攻击者有时通过对URL进行细微而难以看到的更改来模仿站点”。 Chrome最早从从v75版本开始启用的相关设置,而现在微软也已紧跟其后,Microsoft Edge的82版的Dev和Canary版本在默认情形下均已启用了此功能。 Edge在识别出风险后会建议用户访问相似或受欢迎的网站,而不是停留在当前页面上,因为攻击者可能会窃取用户的私人信息。 请注意,与将网站地址发送给Google的Chrome不同,新Edge将网站地址发送给Microsoft / Bing以在用户浏览器中查找并显示正确的网站。   (稿源:cnBeta,封面源自网络。)

Chrome 扩展程序包含恶意代码,窃取加密钱包私钥

一个 Google Chrome 扩展程序被发现在网页上注入了 JavaScript 代码,以从加密货币钱包和加密货币门户网站窃取密码和私钥。 该扩展名为 Shitcoin Wallet(Chrome 扩展 ID:ckkgmccefffnbbalkmbbgebbojjogffn),于 12 月 9 日启动。 据介绍,Shitcoin Wallet 允许用户管理以太(ETH)币,也可以管理基于以太坊 ERC20 的代币-通常为 ICO 发行的代币(初始代币发行)。用户可以从浏览器中安装 Chrome 扩展程序并管理 ETH coins 和 ERC20 tokens;同时,如果用户想从浏览器的高风险环境之外管理资金,则可以安装 Windows桌面应用。 然而,MyCrypto 平台的安全总监 Harry Denley 则在近日发现了该扩展程序包含恶意代码。 根据 Denley 的说法,对用户而言,该扩展存在有两种风险。首先,直接在扩展内管理的任何资金(ETH coins 和基于 ERC0 的代币)都处于风险中。Denley表示,该扩展会将通过其接口创建或管理的所有钱包的私钥发送到位于 erc20wallet[.]tk 的第三方网站。 其次,当用户导航到五个著名和流行的加密货币管理平台时,该扩展还可以主动注入恶意 JavaScript 代码。此代码将窃取登录凭据和私钥,将数据发送到同一 erc20wallet[.]tk 第三方网站。 根据对恶意代码的分析,该过程如下: 用户安装 Chrome 扩展程序 Chrome 扩展程序请求在 77 个网站上注入 JavaScript(JS)代码的权限 [listed here] 当用户导航到这77个站点中的任何一个时,扩展程序都会从以下位置加载并注入一个附加的 JS 文件:https://erc20wallet[.]tk/js/content_.js 此 JS 文件包含混淆的代码 [deobfuscated here] 该代码在五个网站上激活:MyEtherWallet.com,Idex.Market,Binance.org,NeoTracker.io,和 Switcheo.exchange 一旦激活,恶意 JS 代码就会记录用户的登录凭据,搜索存储在五个服务的 dashboards 中的私钥,最后将数据发送到 erc20wallet[.]tk 目前尚不清楚 Shitcoin Wallet 团队是否应对恶意代码负责,或者 Chrome 扩展是否受到第三方的破坏。 参考消息:https://www.zdnet.com/article/chrome-extension-caught-stealing-crypto-wallet-private-keys/   (稿源:开源中国,封面源自网络。)

谷歌修复 Android 版 Chrome 浏览器中的数据丢失 bug

谷歌于今日发布了面向 Android 用户的 79.0.3945.93 版 Chrome 浏览器更新,修复了困扰用户的若干问题。本周早些时候,许多安装了 Chrome 79 的 Android 用户,汇报其遇到了包括数据丢失在内的一些奇怪问题。谷歌在调查后发现,问题或与 WebView 组件中存在的一个 bug 有关。 (来自:Google Play,via Softpedia) 鉴于该组件被许多 Android 应用程序所使用,难免引发人们的忧虑。不过谷歌澄清道:数据并没有丢失、而是被隐藏,在将 Chrome 升级到最新版本后,即可重新见到。 发行说明中写到 — 修复了 WebView 中的一个问题,或导致某些用户的应用程序数据在这些 App 中不可见。 不过 App 数据实际上并非丢失,且能够在更新后重新显示,详情请参阅 crbug.com/1033655 。 除了修复 bug,面向 Android 的 Chrome 79 还引入了一项新的安全特性 —— 通过在尝试登录网站时,警告用户以前是否因数据泄露而暴露过密码,而带来增强的安全体验。 此外,Android 版 Chrome 79 还支持 WebVR,以及通过书签拖动、或点击书签的选项卡菜单并选择‘向上 / 向下移动’,对其展开重新排序等。 如您此前不幸遭遇数据丢失的问题,还请尽快通过 Play 商店下载 Android 版 Chrome 79 更新。最后,该公司今日同步推出了面向 Windows、Mac、Linux 平台的 Chrome 79.0.3945.88 。   (稿源:cnBeta,封面源自网络。)

Chrome 用户请尽快更新:谷歌发现两个严重的零日漏洞

强烈建议:Chrome用户请尽快升级浏览器!在谷歌今天发布的紧急补丁程序中修复了两个严重的零日漏洞,而其中一个已经被黑客利用。Chrome安全小组表示,这两个漏洞均为use-after-free形式,允许黑客在受感染设备上执行任意代码。其中一个漏洞存在于浏览器的音频组件中,而另一个存在于PDFium库中。Windows、macOS和GNU/Linux三大平台版本均受影响。 互联网安全中心警告说:“在Google Chrome中发现了多个漏洞”,并表示CVE-2019-13720和CVE-2019-13721的严重等级都很高。在后续警告中写道:“这两个漏洞允许攻击者在浏览器中执行任意代码、获取敏感信息,绕过安全限制并执行未经授权的操作或导致拒绝服务情况”。 Google Chrome小组在博客中说,稳定版已经升级至78.0.3904.87,修复了这两个问题: 此更新包括2个安全修复程序。下面,我们重点介绍由外部研究人员提供的修复程序。请参阅Chrome安全性页面以获取更多信息。 [$7500] [1013868]高CVE-2019-13721:PDFium组件中的Use-after-free。由 banananapenguin在2019-10-12报道。 [$TBD] [1019226]高CVE-2019-13720:音频组件中的Use-after-free。卡巴斯基实验室的Anton Ivanov和Alexey Kulaev于2019-10-29报道 谷歌承认已经有黑客利用CVE-2019-13720漏洞向Chrome用户发起攻击。目前尚无法披露有关安全漏洞的详细信息。   (稿源:cnBeta,封面源自网络。)

俄罗斯黑客修改 Chrome 和 Firefox 浏览器安装程序以追踪用户

浏览器制造商正在实施一些功能,如HTTPS和TLS加密,以防止站点通过各种技术来跟踪用户。但是,世界各地黑客喜欢与安全专家和软件开发人员一起玩猫捉老鼠的游戏。来自俄罗斯一个特别臭名昭著的团体将计就计,他们在用户安装Web浏览器同时,即时修改这些Web浏览器,为加密流量添加所谓“指纹”功能,以实时跟踪用户和其使用的电脑。 卡巴斯基实验室(Kaspersky Labs)对这种秘密攻击的调查报告显示,黑客设法找到了一种修改Web浏览器的方法,从而使被设计为安全且私有的TLS流量将带有唯一的指纹,以识别用户及其使用的电脑。 这些黑客能够做到这一点的方法几乎令人恐惧。黑客修补了Google Chrome和Mozilla Firefox的安装程序,让浏览器运行时包括该特殊的指纹功能。卡巴斯基无法确定黑客如何以及何时进行修改,但是黑客可能会在用户从合法来源下载安装程序时立即进行修改。 对于某些黑客来说,这是一个相当高的技术要求,因为这意味着黑客需要黑入Internet服务提供商和其网络。但是,对于一个名为Tulsa的黑客组织而言,这可能并不那么困难。Tulsa组织因与俄罗斯政府有联系而闻名,并参与了几起针对ISP的黑客事件。奇怪的是,这种被称为Reductor的恶意软件并未真正用于解密用户的加密流量,因此,这可能是一种隐蔽地跟踪用户网络活动的方法。     (稿源:cnBeta,封面源自网络。)

谷歌发布 Chrome 紧急补丁 修复可执行任意代码的高危漏洞

面向Chrome用户,谷歌今天发布了一项紧急安全更新,修复了可以执行任意代码的漏洞。谷歌正向Windows、macOS和GNU/Linux平台上的Chrome浏览器进行推送,该更新标记为“urgent”(紧急),该漏洞允许黑客完全控制你的PC。 援引外媒Lifehacker报道,这个漏洞是由互联网安全中心(Center for Internet Security)发现的,并敦促用户立即更新谷歌浏览器。公告中写道 在谷歌Chrome浏览器中发现了一个漏洞,允许黑客执行任意代码。这个漏洞是Blink引擎中的一个use-after-free漏洞,如果用户访问或者重定向到某个特定网页就可以激活这个漏洞。 成功利用此漏洞可能允许攻击者在浏览器使用情境中执行任意代码,获取敏感信息,绕过安全限制并执行未经授权的操作,或导致拒绝服务条件。 根据与应用程序关联的权限,攻击者可以安装程序;查看,更改或删除数据;或创建具有完全用户权限的新帐户。 互联网安全中心向所有Chrome用户推荐以下内容,以确保他们不受此漏洞的影响。 立即升级使用谷歌稳定渠道的最新版本,以避免被这个漏洞利用。 以非特权用户(没有管理权限的用户)运行所有软件,以减少成功攻击的影响。 提醒用户不要访问不受信任的网站或关注由未知或不受信任的来源提供的链接。 告知用户有关电子邮件或附件中包含的超文本链接所构成的威胁,特别是来自不受信任的来源的威胁。 将最小权限原则应用于所有系统和服务。 谷歌已经发布了一个应该立即安装的补丁。即便如此,如果你是偏执狂,你可以前往菜单>帮助>关于谷歌浏览器,并验证是否安装了最新版本(76.0.3809.132)。谷歌还修复了一些漏洞,但已从“版本”页面中删除了相关信息。   (稿源:cnBeta,封面源自网络。)

“盗梦空间栏”,Chrome 移动版上的新型网络钓鱼

一种名为“盗梦空间栏”(Inception Bar)的新型网络钓鱼技术出现了,并被证实适用于 Chrome 移动版。 该方法允许黑客屏蔽 Chrome 移动版上的真实网址并显示虚假网址,并附带挂锁图标,以欺骗用户相信他们正在滚动的网页是合法且安全的。更糟糕的是,假 URL 也可以显示为带有交互式内容的动态栏。 开发人员 Jim Fisher 无意中发现这一方法,并在其个人博客进行实验,展示了它的工作方式。 在 Chrome 移动版中,当用户向下滑动页面时,浏览器会隐藏 URL 栏,为网页腾出更多空间。正因如此,网络钓鱼站点得以显示自己的虚假 URL 栏。 通常,当用户向上滚动时,Chrome 会重新显示网址栏。但黑客可以欺骗 Chrome,使真正的网址栏永远不会重新显示。 一旦 Chrome 隐藏了 URL 栏,整个页面内容都可以被移动到带有新元素overflow:scroll 的“滚动监狱”中。接下来,用户会以为他们在向上滑动页面,但事实上他们只是在“滚动监狱”中向上滚动,就像《盗梦空间》中的套环梦境一样。 虽然黑客可以使用 URL 栏的静态图像来掩盖真实的 URL,但他们甚至可以创建一个交互式 URL 栏,使其看起来更加可信。 目前为止,还没有关于恶意利用该方法造成破坏的报道。我们可以采取一些措施来保护自己免受“盗梦空间栏”的攻击: 在 Chrome 浏览器中访问网页时,可以锁定屏幕然后重新解锁。这时,被隐藏起来的真实 URL 会自动显示,如果网络钓鱼站点在起作用,用户将同时看到两个 URL 栏; 钓鱼栏右上角的选项卡数量通常显示不准确,留心检查已在不同选项卡中打开的网页数量,则可以发现异常; Chrome 的黑暗模式会将所有 UI 元素设置为黑色,而虚假的 URL 栏通常显示为白色,这也可在一定程度上帮助识别伪 URL 栏。 参考:Jim Fisher、gadgets360   (稿源:开源中国,封面源自网络。)

Google Chrome 被发现零日漏洞 可让黑客获取用户数据

谷歌浏览器Chrome中的零日漏洞允许黑客使用浏览器中加载的恶意PDF文档来获取个人数据。由EdgeSpot发现这项安全漏洞,已经在被黑客利用,谷歌官方修复方案只会在4月底发布。 当在专用的PDF阅读器(如AdobeReader)中打开时,PDF文档似乎不会泄漏任何个人信息。恶意代码似乎专门针对Google Chrome浏览器中的漏洞,在浏览器中打开这些恶意PDF,会触发到两个不同之一的出站流量,分别称为burpcollaborator.net和readnotify.com。 黑客通过此种方式可以获得的数据包括设备的IP地址、操作系统和Google Chrome版本,以及本地驱动器上PDF文件的路径等等。有趣的是,大部分安全产品无法实时检测到恶意的PDF文档,只有一些防病毒解决方案在扫描它们时才会触发警告。 目前避免此漏洞侵害的最简单方法是避免在Google Chrome浏览器中打开任何PDF文档,但是如果必须这样做,您应该远离来自不信任来源的文件。此外,在Google Chrome中打开PDF文档时,您可以暂时断开电脑与互联网的连接。     (稿源:cnBeta,封面源自网络。)

Chrome 70 即将发布,数千个网站或因安全证书受影响​​​​​​​

由于使用了旧的安全证书,互联网上的数千个网站将会在谷歌发布 Chrome 70 后受到影响 —— 访问这些网站的用户将会收到浏览器提示的安全警告。这是因为 Google 已放弃对赛门铁克在2016年6月之前发布的 HTTPS 安全证书的信任。 一年多前,当谷歌发现赛门铁克不正当地颁发安全证书时,谷歌方面就警告说它将放弃对来自赛门铁克受影响的批量证书的支持。简单来说,赛门铁克在2016年6月之前发布的安全证书都将不会受到 Chrome 70 的信任。因为谷歌早已在一年前就已公布时间表,所以 Web 开发者有一年多的时间来准备此更改。 安全研究员斯科特·赫尔姆(Scott Helme)在 Alexa 排名前 100 万个网站中发现超过 1000 个网站依然使用赛门铁克旧的安全证书,这些网站可能会受到谷歌推出 Chrome 70 的影响,其中包括一些来自印度和特拉维夫的知名政府网站。 据 TechCrunch 报道,除赛门铁克证书外,在2016年6月之前使用 Thawte, VeriSign, Equifax, GeoTrust 和 RapidSSL 颁发的证书的网站也将受到 Chrome 70 的影响。   稿源:开源中国,封面源自网络;

谷歌接受批评:新版 Chrome 恢复显示域名中的 www

日前,谷歌为庆祝 Chrome 浏览器10周年,发布了全新的 Chrome 69 正式版,带来了全新的 Material Design 等特性。不过,新版 Chrome 隐藏域名中的 www 遭到了用户批评,并认为会带来安全问题。 Chrome 69 隐藏了网址中的 HTTP/HTTPS,用户随后又发现 Chrome 69 还会隐藏网址中的 WWW,也就是 www.google.com 在地址栏显示的是 google.com。此举引发了争议。WWW 被 Chrome 视为是无关紧要的子域名。但 www.example.com 和 example.com 是有区别的,它们很可能是不同的网站,有着不同的 DNS 记录。Google 的做法被认为会带来安全问题。 对于用户的批评和担心,谷歌坦然接受,并对 Chrome 浏览器作出了更改,在9月12日发布的最新版 Chrome v69.0.3497.92 默认设置中,已经弃用了不再显示协议名称的功能,恢复显示域名中的 www。   稿源:开源中国,封面源自网络;