'InAppBrowser' adlı yeni bir çevrimiçi araç, mobil uygulamalara gömülü uygulama içi tarayıcıların davranışını analiz etmenizi ve ziyaret ettiğiniz web sitelerine gizliliği tehdit eden JavaScript enjekte edip etmediklerini belirlemenizi sağlar.
Araç, ayın başlarında bu potansiyel riskli davranış konusunda uyaran geliştirici Felix Krause tarafından oluşturuldu ve uygulama içi tarayıcıların kullanıcıların JavaScript izleyicilerini ziyaret ettikleri her web sayfasına enjekte ederek gördükleri ve yapmalarının ne kadar kolay olacağını açıkladı. .
Bu enjeksiyonların potansiyeli, gezinme geçmişine erişmeyi, ilgi alanlarını, günlük musluklarını ve anahtar presleri elde etmek için davranış özelliklerinin günlüğe kaydetmesini, ekran görüntüsü eylemlerini izlemeyi ve hatta giriş formlarına girdiğiniz şifreleri yakalamayı içerir.
Vahiyler, gömülü tarayıcılara sahip popüler uygulamaların topluluklarını salladı, böylece kullanıcıların uygulamalarının etkinliğini belirlemelerine yardımcı olmak için Krause 'InAppBrowser' çevrimiçi aracını yayınladı ve kaynak kodunu açtı.
Bir uygulamanın potansiyel olarak şüpheli davranışlar gösterip göstermediğini bulmak için, uygulamanın yerleşik tarayıcısından aracın web sitesini (inAppbrowser.com) açın.
Sosyal medya uygulamaları için https://inappbrowser.com bağlantısını herkese açık olarak gönderin ve uygulama içi tarayıcı ile açmaya çalışın. Messenger uygulamaları için bağlantıyı kendinize DM aracılığıyla gönderin ve uygulamanın tarayıcısından açın.
Bu basit adımlar, uygulamanın tarayıcısı tarafından web sitelerine eklenen JavaScript enjeksiyonları hakkında bir rapor oluşturmak için yeterlidir. Bununla birlikte, hiçbir tespit raporlarının kod enjeksiyonunun kesin olarak hariç tutulabileceği anlamına gelmediğini açıklığa kavuşturmak önemlidir.
Krause, "Bu araç yürütülen tüm JavaScript komutlarını algılayamaz ve uygulamanın yerel kodu kullanarak yapabileceği herhangi bir izlemeyi gösteremez (özel jest tanıyıcıları gibi)."
Benzer şekilde, kod enjeksiyonu raporları, uygulamanın izleme faaliyetleri gerçekleştirdiği anlamına gelmez, ancak yalnızca istismar potansiyelinin mevcut olduğu anlamına gelmez.
"Bir uygulamanın JavaScript'i harici web sitelerine enjekte etmesi, uygulamanın kötü niyetli bir şey yaptığı anlamına gelmez." Raporu netleştirir.
"Her bir uygulama içi tarayıcının ne tür verilerin topladığı veya verilerin nasıl aktarıldığı veya kullanıldığı hakkında tüm ayrıntıları bilmemizin bir yolu yoktur."
BleepingComputer'ın diğer testleri, masaüstü tarayıcılarda uzantılar tarafından oluşturulan riskli kod enjeksiyonlarını bulmak için aracı kullanabileceğinizi de gösterdi.
Aracı, Phantom veya Metamask kripto para cüzdanları gibi krom uzantıları takılı olarak test ederken, InAppBrowser sitesi aşağıda gösterilen gizlilikle ilgili çeşitli kod enjeksiyonlarını tespit etti.
Yukarıdaki görüntüdeki kırmızıdaki son uyarı, metamasktan değil, fantom uzantısından kaynaklandı.
Ayrıca, tarayıcı uzantıları ziyaret ettiğiniz web sitelerine JavaScript enjekte ederek çalışır, bu nedenle birçok uzantının algılanması olağandışı olmaz. Bununla birlikte, testlerimiz birçok uzantının araçla herhangi bir uyarı üretmediğini göstermiştir.
Araç tarayıcı uzantılarını analiz etmek için tasarlanmadığından, BleepingComputer bu sonuçların güvenilir olup olmadığını öğrenmek için Krause'a ulaştı.
Araştırmacı, Tiktok, Instagram, Facebook ve Messenger'da riskli davranış bulduğunu iddia ederken, Snapchat ve Robinhood testlerde temiz çıktı.
Özellikle Tiktok için Krause, klavye girişini ve ekran musluklarını izleyen komut dosyaları buldu. Tiktok'un bu yeteneği kötüye kullandığına dair bir gösterge olmasa da, araştırmacı şifreler ve kredi kartı girdileri gibi hassas bilgileri toplamak için istismar edilebileceği konusunda uyarıyor.
Bir Tiktok sözcüsü, aşağıdaki ifadeyi, bu komut dosyalarını tuş vuruşu veya metin girişlerini toplamak için kullanmadıklarını belirten biping bilgisayarla paylaştı.
"Raporun Tiktok hakkındaki sonuçları yanlış ve yanıltıcı.
Araştırmacı, özellikle JavaScript kodunun uygulamamızın kötü niyetli bir şey yaptığı anlamına gelmediğini ve uygulama içi tarayıcımızın ne tür verileri topladığını bilmenin hiçbir yolu olmadığını itiraf ediyor.
Raporun iddialarının aksine, yalnızca hata ayıklama, sorun giderme ve performans izleme için kullanılan bu kod aracılığıyla tuş vuruşu veya metin girişleri toplamıyoruz. " - Tiktok.
Bu nedenle Tiktok, kodun orada olduğunu itiraf ediyor, ancak kullanıcıların gizliliğini izlememek veya ihlal etmek için yalnızca kullanıcı deneyimini geliştirmek için kullanıldığını vurguluyor.
Buna ek olarak, Tiktok, Blewing Computer'a Web'de gittikleri her yerde kullanıcıları izlemediğini söyledi, ancak şirket reklamverenlerden, kullanıcılarının üçüncü taraf uygulamalarında ne yaptıkları ve etkili reklam çözümleri sunmak için web siteleri hakkında sınırlı veri alabileceğini söyledi.
Blewing Computer, rapor edilen bulgular hakkında Facebook/Meta'dan bir yorum talep etti, ancak henüz bir yanıt almadık.
Meta, ABD hastaneleri reklamları hedeflemek için sağlık verilerini kullanmaya dava açtı
Yeni Firefox Gizlilik Özelliği İzleme Parametrelerinin URL'lerini şeritler
Rusya'nın 'Oculus', yasaklı bilgi için siteleri taramak için yapay zekayı kullanmak
Kötü niyetli tarayıcı uzantıları yaklaşık 7 milyon kişiyi hedef aldı
Monero Hard Fork, bilgisayar korsanlarının favori parasını daha da özel hale getirir
Kaynak: Bleeping Computer