Предупреждение о распространении троянских дополнений для Firefox

Lain_13 · №1

Разработчики Mozilla опубликовали уведомление, связанное с обнаружением в каталоге addons.mozilla.org двух экспериментальных дополнений, в которых были интегрированы вредоносные троянские вставки. Проблемы найдены в версии 4.0 дополнения Sothink Web Video Downloader и всех версиях Master Filer.
Троянский код нацелен на поражение только машин под управлением ОС Windows: Sothink Web Video содержит троян Win32.LdPinch.gen, а Master Filer - Win32.Bifrose.32.Bifrose. После установки зараженных дополнений, троянское ПО поражает основную систему, вылечить которую может только специализированное антивирусное ПО (для очистки недостаточно просто деинсталлировать расширения).
По предварительным данным инфицированное дополнение Sothink Web Video Downloader успели установить примерно 4 тысячи пользователей, а дополнение Master Filer - 600 человек. Сообщается, что в каталоге addons.mozilla.org изначально реализована система автоматической антивирусной проверки загружаемых дополнений, но данные два инцидента были распознаны только после введения в строй двух дополнительных сканеров вредоносного ПО и перепроверке ими всех дополнений в архиве.

~ opennet

А ведь я не раз говорил, что FlashGot лучше ставить для скачивания видео из этих ваших интернетов.
Кстати, дайте мне права постить новости, пожалуйста. Желание возникает редко, но возникает.

Апдейт:
Как показало дальнейшее расследование с Sothink Web Video Downloader всё в порядке и это было ложное срабатывание. Таким образом рассчётная цифра в 6 000 скачиваний (на момент обнаружения этого файкта) снизилась приблизительно до 700. Расширение снова доступно на АМО, а его авторам и пользователям принесено извинение.

Отредактировано Lain_13 (11-02-2010 18:44:58)

Rosenfeld · №2

Хочу заметить, что на АМО вообще полный бардак - я проверяю наличие новых дополнений примерно пару раз в сутки и хорошо вижу, сколько мусорных сообщений там появляется.

Недавно было дополнение, про которое втором было гордо завлено, что "оно НИЧЕГО не делает!" Много дополнений без названий (или что-то типа "yrgfgjrds"), описаний, иллюстраций. В одном сообщении была явная порнуха в картинке... Поэтому я бы вообще поостерегся сейчас оттуда тестировать и ставить что-то новое, а просто обновлял бы тот устоявшийся набор, который у пользователей уже есть.

P.S. А те дополнения, которые просят "посетите домашнюю страницу", нужно сразу посылать куда подальше и не исыпытывать судьбу.

Отредактировано Rosenfeld (06-02-2010 00:14:29)

Lain_13 · №3

Rosenfeld
Я бы сказал, что там давно уже пора выпилить всё, что не входит в топ-100. Причём без разбору.
Знатную мусорку развели.

Добавлено 06-02-2010 00:28:11
По-прочтении оригинальной статьи уточняю.
Расширения были экспериментальными, а это значит, что проверялись они исключительно автоматическими тестами ну и конечными пользователями, естественно.
Хорошо, что их так и не подтвердили, а то б масштабы были бы куда больше.

Добавлено 06-02-2010 00:29:21
Rosenfeld
> P.S. А те дополнения, которые просят "посетите домашнюю страницу", нужно сразу посылать куда подальше и не исыпытывать судьбу.
NoScript, например?

Rosenfeld · №4

NoScript, например?

Что-то я Вас не совсем понял... Где Вы там такое увидели?

скрытый текст

http://forum.mozilla-russia.org/uploaded/nscr.jpg

Я говорю вот о ТАКИХ дополнениях:

скрытый текст

http://forum.mozilla-russia.org/uploaded/open-hpage.jpg

Lain_13 · №5

Rosenfeld
NoScript (и далеко не только он) при установке и первом запуске открывает свою домашнюю страницу.
Раньше он её вообще всегда открывал после каждого обновления.
По-моему это куда большая наглость, чем предложение посетить домашнюю страницу.
К тому же не вижу ни чего ужасного в таком предложении, расширение-то ставится всё равно с AMO, не так ли?
Возможно автор что-то имеет сказать или там у него коллекция других его работ и не только для фокса.
Меня вот удивляет, что такой кнопки нет у AdBlock+, Stylish и Greasemonkey.
Кстати, кинь ссылку на такое расширение. Хочу глянуть.

Отредактировано Lain_13 (06-02-2010 00:45:24)

Rosenfeld · №6

расширение-то ставится всё равно с AMO, не так ли?

Нет, не так. Дополнения с "домашней страницой" (см. иллюстрацию 2 выше) НЕ ставятся с АМО.

Например:

скрытый текст

http://forum.mozilla-russia.org/uploaded/amo-hp.jpg

Как видите, ни у него, ни у подобных ему, просто НЕТ привычной зеленой кнопки "Установить".

Lain_13 · №7

О, даже так?
Тогда я с тобой полностью солидарен.

Крошка Ру · №8

О, даже так?

Rosenfeld, Lain_13 при чём довольно таки часто встречается наверное такая возможность добавленна после обновления АМО , вот и используют :rolleyes:

...Sothink Web Video Downloader...

:dumb:
кажется я его пробовал :whistle: но наверное ещё не четвёртую версию :lol:

Jarichek · №9

okkamas_knife пишет

может стоит вести какуюто базу плохих дополнений и чтоб фф при попытке установки дополнения выдавал мессагу что мол это дополнение в черном списке

ну черный список имеется, в папке профиля есть файл blocklist.xml ... правда он маловат как-то

Lain_13 · №10

okkamas_knife
Там версии указываются.

Lain_13 · №11

Кстати, блоклист и не хранится локально, а периодически обновляется... причём совершенно без спросу. Было пару раз, когда не обновлял на работе тот же QT, а он взял и выпили его. Мол уж больно он у тебя старый.
В основном это не для борьбы с плохими расширениями придумано, а для борьбы с глючными плагинами. Теми, которые часто приводят к краху браузера или просто содержат бреши в безопасности размером с ту дыру, которую айсберг проделал в Титанике.

Sid · №12

okkamas_knife пишет

а поконкретнее?

http://forum.mozilla-russia.org/viewtop … 79#p251079

Unghost · №13

Lain_13

Кстати, дайте мне права постить новости, пожалуйста. Желание возникает редко, но возникает.

OK.

Rosenfeld

А те дополнения, которые просят "посетите домашнюю страницу", нужно сразу посылать куда подальше и не исыпытывать судьбу.

Гм, а это то при чём? В последних версиях AMO добавили фичу при которой на AMO размещается только описание расширения, а сами файлы установки размещаются на сайте автора. Разумеется вместо ссылки на установку размещается ссылка на домашнюю страницу.
Это ничем не опасней и не безопасней установки откуда-то из Интернета.

А тем кто думает, что на AMO размещены исключительно безопасные приложения, советую прокрутить его заглавную страницу и прочесть последний абзац.

Rosenfeld · №14

Это ничем не опасней и не безопасней установки откуда-то из Интернета.

Да, но при этом подчеркивается (см. иллюстрацию в указанном сообщении), что Mozilla НЕ ПРОВЕРЯЛО указанное дополнение и пользователь предупреждается "будьте осторожны". Как Вы думаете, напрасно что ли это сделано?

http://forum.mozilla-russia.org/viewtop … 52#p409952

Unghost · №15

Rosenfeld
Ну да, так и пишется. И в чём тут неправда?

Lain_13 · №16

okkamas_knife
Рассмотрим на примере:

скрытый текст

Выделить код

Код:

---- Заголовок
<?xml version="1.0"?>
<blocklist xmlns="http://www.mozilla.org/2006/addons-blocklist">

---- Начало секции расширений
  <emItems>

---- Отдельное расширение
    <emItem id="id расширения (можно взять имя папки, в котором оно лежит)">

---- Версии расширения, которые подлежат блокировке
---- Если указать звёздочку или пробел в минимальной версии, то будут считаться
---- все версии ниже максимальной. Можно и наоборот или вообще не указывать.
---- Если минимум и максимум не указывать, то заблокирует все.
      <versionRange minVersion="1.0" maxVersion="1.3.1">

---- ID-код приложений, для которого выполняется эта блокровка (ниже код фокса)
---- Этот блок не обязательно указывать.
        <targetApplication id="{ec8030f7-c20a-464f-9b0e-13a3a9e97384}">

---- Перечисление версий фокса, для которых нужно выполнять блокировку.
           <versionRange minVersion="3.0a1" maxVersion="*"/>

---- Закрываем тэги.
        </targetApplication>
      </versionRange>
    </emItem>

---- Пример блокировки минимального размера (указан только ID расширения,
---- а сам тэг закрыт.
    <emItem id="{2224e955-00e9-4613-a844-ce69fccaae91}"/>

---- Закрываем секцию расширений
  </emItems>

---- Начало секции плагинов
<pluginItems>

---- Описание блокируемого плагина
  <pluginItem>

---- Поиск в параметрах плагина определённых подстрок при помощи регулярок
    <match name="name" exp="^Yahoo Application State Plugin$"/>
    <match name="description" exp="^Yahoo Application State Plugin$"/>
    <match name="filename" exp="npYState.dll"/>

---- Если плагин сообщает свою версию, то можно тут указать диапазон версий
---- Но обычно с версией они определяются ещё на этапе сверки параметров
---- или не определяются вообще, а блокируют всё подряд.
    <versionRange>

---- Такая же секция, как и в описании расширений - указывается где блокировать.
      <targetApplication id="{ec8030f7-c20a-464f-9b0e-13a3a9e97384}">
        <versionRange minVersion="3.0a1" maxVersion="3.*"/>

---- Закрываем тэги.
      </targetApplication>
    </versionRange>
  </pluginItem>

---- Простейшая структура для блокировки плагина по имени его dll-ки.
  <pluginItem>
    <match name="filename" exp="NPMySrch.dll"/>

---- Непонятно зачем нужный блок версией, вероятно нужный, так как всегда указан.
    <versionRange>
    </versionRange>
  </pluginItem>

---- Конец секции плагинов
</pluginItems>

---- Закрываем блоклист
</blocklist>

Кстати, ручками дописывать толку скорее всего нет - при следующем обновлении блоклиста наверняка снесёт все изменения. ж)

Unghost
Да просто не ясно зачем это вообще на AMO нужно. Если автор не хочет загружать свою поделку на AMO, то что-то тут не так.
Так зачем же вообще давать ссылки на заведомо не безопасные расширения?
Мозилловцы у себя хотя бы стараются поддерживать порядок в своей собственной базе, а тут вдруг начали давать ссылки на ресурсы, которые наверняка и не стараются.

Отредактировано Lain_13 (06-02-2010 15:05:28)

Rosenfeld · №17

И в чём тут неправда?

Правда - в словах Lain_13

Lain_13 · №18

pi.v.vitaly
Вообще-то они не собираются удалять бесплатные расширения. Просто некоторые не желают распространять свои расширения совсем бесплатно.
Сейчас уже сделали возможность сделать пожертвование, а потом и продавать дадут тем, кто ну очень хочет нажиться на своём поделии.
Желание-то вполне законное. Всё равно эту чушь ни кто не будет ставить. ж)

Отредактировано Lain_13 (06-02-2010 15:09:40)

Rosenfeld · №19

Черт возьми! Стоило отойти на 5 минут назад на перекур, как в голове родилось смутное предположение, но pi.v.vitaly и Lain_13 меня опередили!

ОЧЕНЬ может быть (и хорошо, если я ошибаюсь!), если подобным образом обкатывается новая "бизнес-модель" по продаже дополнений.

Вполне может быть, что в следующий раз на месте кнопки "Перейти на сайт производителя" будет красоваться сообщение: "Эй, мужик, если хочешь поиметь это дополнение - заплати денежку"...

Кто что думает по этому поводу?

Sid · №20

Lain_13 пишет

Если автор не хочет загружать свою поделку на AMO, то что-то тут не так.

Необязательно. У всех авторов свои тараканы. Кому-то не нравится, что приходится очень долго ждать, пока расширение проверяют. Кому-то неохота возиться с регистрацией и загрузкой расширения. У кого-то принципы. Я уже как-то приводил пример — неплохое расширение FoxNotes, автор которого нигде, кроме своего сайта, его не публикует, и даже переводы не принимает.
Или ещё пример — Coral IE Tab, где использована какая-то особая dll-ка, и автор боялся, что ему не разрешат хостить расширение на AMO. В итоге разрешили, но если бы запретили, то осталась бы self-hosted версия. А расширение незаменимое в своём классе.

Отредактировано Sid (06-02-2010 15:31:25)

Unghost · №21

Lain_13

Да просто не ясно зачем это вообще на AMO нужно. Если автор не хочет загружать свою поделку на AMO, то что-то тут не так.
Так зачем же вообще давать ссылки на заведомо не безопасные расширения?

Ну открой документ About Mozilla и почитай:

With this in mind, our efforts are ultimately driven by our mission of encouraging choice, innovation and opportunity online.

И повторяй: присутствие выбора - хорошо, отсутствие выбора - плохо.

Кстати self-hosted addons уже три месяца как присутствуют, и никто по этому поводу слова не сказал до сегодняшнего времени:

One of the staples of the Mozilla add-ons platform is the choice developers have to host and distribute their add-ons on any website they’d like — not just addons.mozilla.org. Yet, as the largest gallery of add-ons, Mozilla Add-ons is where users come to search for and discover new add-ons, which leaves add-ons hosted on a personal or business website out of sight and usually out of mind.
With tonight’s release, we’ve launched a pilot program to allow self-hosted add-ons to be listed on AMO alongside our thousands of Mozilla-hosted add-ons. We want users to be able to find any add-on they’re looking for on AMO, whether it’s hosted there or not.
These self-hosted add-ons won’t have all of the site features that other add-ons do, but will appear in search and browse listings, collections, and can be reviewed and rated. However, unlike our thousands of publicly-listed add-ons, these add-ons are not reviewed by Mozilla. Because of this very important distinction, instead of a green install button, self-hosted add-ons see a cautionary notice and link to the add-on’s homepage for additional information and to install the add-on.
Developers interested in submitting their self-hosted add-on or changing the hosting of their existing add-on should first read through additional details of the program.

Мозилловцы у себя хотя бы стараются поддерживать порядок в своей собственной базе, а тут вдруг начали давать ссылки на ресурсы, которые наверняка и не стараются.

Тебя прямая дорога в лагерь юзеров Макинтошей, с радостными криками ставящими из Apple Store глобальные и надёжные приложения. Стив Джобс гарантирует это.

Rosenfeld · №22

okkamas_knife

скрытый текст

Придётся строить свой АМО с блекджэком и шлюхами

Да! ДА!!!
Двумя руками "за"!

Причем, если его буду строить лично я - там и в самом деле НИ-ЧЕ-ГО, кроме самого блэкджека и шлюх, НЕ БУДЕТ!
... Ибо это есть моя розовая (голубая) мечта!

Najlus · №23

Unghost пишет

И повторяй: присутствие выбора - хорошо, отсутствие выбора - плохо.

Дык тут и не предоставляется выбора: идите на сайт разработчика, который может вам навредить и всё.

Lain_13 пишет

pi.v.vitaly
Вообще-то они не собираются удалять бесплатные расширения. Просто некоторые не желают распространять свои расширения совсем бесплатно.
Сейчас уже сделали возможность сделать пожертвование, а потом и продавать дадут тем, кто ну очень хочет нажиться на своём поделии.
Желание-то вполне законное. Всё равно эту чушь ни кто не будет ставить. ж)

А если свои дополнения платно захотят распространять создатели AdBlockPlus или NoSсript?
Конечно за такие расширения и заплатить не жалко, но ведь разработчики могут установить и очень высокие цены, что ни есть гут. К тому же делать платной, пусть и частично, основную фишку браузера (расширения) наврятли хорошо повлияет на его распространённость

Sid · №24

Najlus пишет

Дык тут и не предоставляется выбора: идите на сайт разработчика, который может вам навредить и всё.

А иначе ты бы даже не узнал, что такое расширение существует. Так хоть можно посмотреть и осознанно отказаться.

Есть довольно популярные расширения, которые вообще никогда на AMO не хостились — TotalToolbar, keyconfig — кто-то сомневается в их доброкачественности? А эти два расширения, про которые новость, вполне официально лежали на AMO, и всё равно вирус просочился. Так что гарантии нет нигде. И Unghost прав — возможность выбора это хорошо.

Najlus · №25

Sid пишет

А иначе ты бы даже не узнал, что такое расширение существует. Так хоть можно посмотреть и осознанно отказаться.
Есть довольно популярные расширения, которые вообще никогда на AMO не хостились — TotalToolbar, keyconfig — кто-то сомневается в их доброкачественности?

вы правы

Sid пишет

А эти два расширения, про которые новость, вполне официально лежали на AMO, и всё равно вирус просочил

Я говорил про сами сайты, а не про расширения. Как бы этого не хотелось, но NoScript стоит далеко не у всех

Sid пишет

И Unghost прав — возможность выбора это хорошо.

Ну я вроде как и не отрицал этого

Отредактировано Najlus (06-02-2010 19:28:39)

Полезная информация

Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Код:

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Re: Предупреждение о распространении троянских дополнений для Firefox

Board footer